FortiManager-5.0-5.2:FAQ
FortiManager:FAQ
24 X 7 PROMOTION bis 30. Juni 2015 Weitere Informationen finden Sie hier!
Vorwort
Diese FAQ's sind für FortiManager Systeme basierend auf OS 5.x.
Datenschutz
********************************************************************* * * * THIS FILE MAY CONTAIN CONFIDENTIAL, PRIVILEGED OR OTHER LEGALLY * * PROTECTED INFORMATION. YOU ARE PROHIBITED FROM COPYING, * * DISTRIBUTING OR OTHERWISE USING IT WITHOUT PERMISSION FROM * * ALSO SCHWEIZ AG SWITZERLAND. * * * ********************************************************************* "Die in diesen Artikeln enthaltenen Informationen sind vertraulich und dürfen ohne schriftliche Zustimmung von der ALSO Schweiz AG gegenüber Dritt-Unternehmen nicht bekannt gemacht werden"
FAQ
License
Wie wird ein FortiManager unter VMware lizensiert?
Eine FortiManager Lizenz basiert auf folgender Matirx (Stackable License basierend auf Devices und NICHT GB Logs pro Tag):
NOTE Grundsäztlich gilt betreffend WAS ist ein Device etc. folgendes: 1 Cluster = 1 Device 1 VDOM = 1 Device![]()
NOTE Weitere Informationen wie eine FortiAManager VM Lizenz registriert resp. eingespielt wird siehe folgender Artikel: FortiManager:FAQ#Wie_wird_eine_License_f.C3.BCr_FortiManager_f.C3.BCr_VMware_registriert_und_eingespielt.3F
Bei der Generierung der Lizenz muss die IP Adresse des FortiManagers angegeben werden. Anhand dieser IP Adresse wird das Lizenz File erstellt. Wird die IP des FortiManagers gewechselt muss das entsprechende Lizenz File neu über den entsprechenden Support Account erstellt werden! Desweiteren sind die Maximum Values eines FortiManagers Wichtig. Dazu siehe nachfolgender Artikel:
FortiManager:FAQ#Was_sind_die_.22maximum_values.22_f.C3.BCr_FortiManager_Platformen.3F
Wie wird ein FortiManager unter VMware/HyperV installiert?
Nachfolgender Link gibt Auskunft wie ein FortiManager unter VMware/HyperV installiert wird:
Fortinet:Virtualisierung#Wie_installiere_ich_VMware_basierende_Fortinet_Produkte_wie_Fortigate.2C_FortiManager_und_FortiAnalyzer.3F
Wie wird eine License für FortiManager für VMware registriert und eingespielt?
Wenn man einen FortiManager für VMware installiert fällt einem auf, dass diese keine Serien Nummer aufweist! Diese Serien Nummer wird erstellt beim Registrierungsvorgang. Dies bedeutet, als License Lieferung erhält man folgendes Dokument:
Datei:FMVM0002306.pdf
In diesem Dokument ist ein "Registration Code" angegeben dh. anhand dieses "Registration Code" wird die Registrierung durchgeführt und in dieser Registrierung wird die Serien Nummer erstellt sowie das effektive License File. Um die Registrierung durchzuführen gehe auf folgende Seite:
http://support.fortinet.com NOTE Auf dieser Support Seit muss für den Registrierungsprozess eingeloggt werden. Ist "noch" kein Account vorhanden so führe den ersten Teil (erstellen eines Accounts) der folgende Anweisungen durch: Fortigate:FAQ#Wie_wird_ein_Fortinet_Device.2FGer.C3.A4t_Registriert.3F Wenn ein Account existiert logge dich anhand des Usernamens und Passwortes auf http://support.fortinet.com ein. Danach wähle unter "Asset Management" die Position "Register/Renew". Es erscheint folgender Dialog: Datei:Fortinet-212.jpg
Datei:Fortinet-216.jpg
Datei:Fortinet-217.jpg
Datei:Fortinet-218.jpg NOTE Auf diser Seite kann uner der Positon "License File Download" das Licens File, dass auf dem FortiManager eingespielt werden muss runtergeladen werden!
Der Registrierungsprozess ist abgeschlossen. Das License File kann nun auf dem FortiManager unter folgender Position eingespielt werden:
NOTE Wird die IP des FortiManagers gewechselt muss das entsprechende Lizenz File neu über den entsprechenden Support Account erstellt werden!
System Settings > General > Dashboard > License Information > Upload License
Nachdem einspielen der License wird der FortiManager neu gestartet. Nachdem erneuten einloggen kann nun die Serial Nummer dieser Installation aus der Position ausgelesen werden:
System Settings > Dashboard > System Information > Serial Number
Diese Serial Nummer identifiziert diese Installation bei Support Fällen bei Fortinet und muss bei einem Support Case angegeben werden.
Wo finde ich auf dem FortiManager eine Ueberblick über alle Lizenzen inkl. FortiGate?
Ab Version 5.0.5 gibt es unter nachfolgender Position im FortiManager ein Ueberblick inkl. Ablaufzeiten betreffend Lizenzen der Devices:
FortiGuard > License Status![]()
Documentation
Wo findet ich die Dokumente wie Datasheets, Quick Start Guide, User Guide etc. ?
Ueber folgenden internen Link findet man Datasheets und Quick Start Guide betreffend FortiManager Devices:
Fortinet:ProduktInfo
Ebenfalls lohnt es sich folgenden Link anzuschauen der "Cookbook" ähnliche Dokumente und Video's beinhaltet:
http://community.fortinet.com/
Auf folgender Seite findet man alle orginal Dokumente betreffend Fortigate:
http://docs.fortinet.com/fortimanager/admin-guides (Legacy Link http://docs.fortinet.com/fmgr.html)
FortiOS 4 MR3 Datei:Fortimanager-admin-40-mr3.pdf (FortiManager v4.0 MR3 Administration Guide) Datei:Fortimanager-cli-40-mr3.pdf (FortiManager v4.0 MR3 CLI Refrence) Datei:Fortimanager-vm-admin.pdf (FortiManager-VM v4.0 MR3 System Guide)
FortiOS 5.0 Datei:Fortimanager-50-ga-new-features.pdf (FortiManager v5.0.0 GA New Features Guide) Datei:Fortimanager-admin-5.pdf (FortiManager v5.0 Administration Guide) Datei:FortiManager-cli-5.pdf (FortiManager v5.0 CLI Refrence) Datei:Fortimanager-log-message-refrence-501.pdf (FortiManager v5.0.1 Log Message Refrence)
FortiOS 5.2 Datei:Fortimanager-admin-52.pdf (FortiManager v5.2 Administration Guide) Datei:FortiManager-cli-52.pdf (FortiManager v5.2 CLI Refrence)
Gibt es einen Link auf die Fortinet Knowledgebase auf der die Artikel gelistet sind?
http://pub.kb.fortinet.com/index/
Hardware
Was sind die "maximum values" für FortiManager Platformen?
Für die verschiedenen Platformen sei es Hardware Appliance und VMWare existieren folgende "maximum values":
NOTE Grundsäztlich gilt betreffend WAS ist ein Device etc. folgendes: 1 Cluster = 1 Device 1 VDOM = 1 Device![]()
Was für ein Kabel benötige ich für den Consolen Anschluss (Seriell RS232) einer Fortinet?
Weitere Informationen siehe folgender Artikle:
Fortigate:FAQ#Was_f.C3.BCr_ein_Kabel_ben.C3.B6tige_ich_f.C3.BCr_den_Consolen_Anschluss_.28Seriell_RS232.29_einer_Fortinet.3F
Upgrade
Auf was muss geachtet werden wenn ein Upgrade eines FortiManager's von 4.x auf 5.0 durchgeführt wird?
Im Dokument "FortiManager v5.0.0 GA New Features Guide" wird näher auf das Update Scenario eingegangen (Seite 9):
Datei:Fortimanager-50-ga-new-features.pdf
Wie führe ich ein reguläres Firmware Upgrade für den FortiManager durch?
Wenn für den FortiManager ein reguläres Firmware Upgrade durchgeführt werden soll kann dies über das WebGui durchgeführt werden. Bevor so ein Upgrade durchgeführt wird führe ein ordentliches Backup durch:
FortiManager:FAQ#Wo_und_wie_kann_ich_ein_Backup_des_FortiManagers_durchf.C3.BChren.3F
Danach kann ein Upgrade anhand der neuen Firmware über das WebGui durchgeführt werden:
NOTE Es ist empfehlenswert das entsprechende Release Notes gut durchzulesen um event. wichtige Informationen zu berücksichtigen!
Datei:Fortinet-587.jpg
Im Hintergrund wird das entsprechende File verifiziert dh. ob dieses dem Device entspricht etc. Danach wird der Update ausgeführt und automatisch ein Neustart durchgeführt!
Setup
Wie sieht ein Grundsetup vom Ablauf her aus für einen FortiManager?
Folgende Aufstellung/Information zeigt ein Konfigurations-Ablauf auf für einen FortiManager. Je nach Konfiguration und Vorraussetzungen entfallen bestimmte Konfigurationspunkte:
0. Vorbereitung der Implementierung / Grundkonfiguration Netzwerk FortiManager:FAQ#Welche_Ports_ben.C3.BCtzt_der_FortiManager_und_m.C3.BCssen_freigegeben_werden_f.C3.BCr_eine_einwandfreie_Komunikation_mit_einer_FortiGate.3F FortiManager:FAQ#Wie_sieht_die_Grundkonfiguration_.28Netzwerk.29_eines_FortiManagers_aus.3F FortiManager:FAQ#Ist_es_m.C3.B6glich_einen_FortiManager_im_HA_Mode_aufzusetzen.2Fzu_betreiben.3F 1. Lizenz einspielen FortiManager:FAQ#Wie_wird_eine_License_f.C3.BCr_FortiManager_f.C3.BCr_VMware_registriert_und_eingespielt.3F 2. Hostname anpassen/modifizieren FortiManager:FAQ#Wo_setze_ich_den_Hostnamen_f.C3.BCr_einen_FortiManager.3F 3. Timezone setzen sowie NTP Server konfigurieren FortiManager:FAQ#Wie_kann_ich_die_entsprechende_Zeitzone_setzen_sowie_einen_NTP_Server.3F 4. Wo setze ich das Passwort des SuperAdmin (admin) FortiManager:FAQ#Wo_kann_ich_das_Passwort_des_SuperAdmin_.28admin.29_.C3.A4ndern.3F 5. Upgrade des FortiManagers durchführen FortiManager:FAQ#Wie_f.C3.BChre_ich_ein_regul.C3.A4res_Firmware_Upgrade_f.C3.BCr_den_FortiManager_durch.3F 6. ADOM Funktionalität aktivieren FortiManager:FAQ#Was_sind_ADOM.27s_und_welche_Ueberlegung_sind_in_diesem_Zusammenhang_zu_ber.C3.BCcksichtigen.3F FortiManager:FAQ#Kann_ich_in_einer_ADOM_FortiGate.27s_Devices_mit_FortiOS_4.3_und_5_mischen.3F 7. Aktivieren der "workspace" Funktionalität FortiManager:FAQ#Wie_kann_ich_verhindern.2C_dass_vers._Administratoren_zur_gleichen_Zeit_eine_ADOM_modifizieren.3F 8. Erstellen einer ADOM FortiManager:FAQ#Wie_erstelle_ich_eine_neue_ADOM_und_auf_was_muss_ich_dabei_achten.3F FortiManager:FAQ#ADOMs_k.C3.B6nnen_im_.22normal.22_Mode_sowie_als_.22backup.22_Mode_erstellt_werden.3B_Was_ist_der_Unterschied.3F 9. Device zu FortiManager hinzufügen FortiManager:FAQ#Wie_f.C3.BCge_ich_einen_Device_zum_FortiManager_hinzu.3F 10. Erstellen einer Device Gruppe und hinzufügen des Device FortiManager:FAQ#Wie_erstelle_ich_eine_Device_Gruppe_und_wie_verwende_ich_diese.3F 11. Konfiguration eines Device Profils und hinzufügen zu einem Device FortiManager:FAQ#Was_ist_ein_Provisioning_Template_.28Device_Profile.29_und_wie_Konfiguriere_und_Weise_ich_dieses_einem_Device_zu.3F 12. Installieren eines Device Profils FortiManager:FAQ#Wie_installiere_ich_ein_Device_Profil_.28Provisioning_Templates.29_das_einem_Device_zugewiesen_wurde_auf_diesem_Device.3F 13. Estellen einer Global Policy FortiManager:FAQ#Was_sind_Policy_und_wie_sind_diese_im_Zusammenhang_mit_ADOMs_und_Devices_zu_verstehen.3F FortiManager:FAQ#Wie_erstelle_ich_eine_neue_Global_Policy_.28Global_Domain_Policy.29.3F 14. Konfigurieren der Global Policy (Rule hinzufügen) FortiManager:FAQ#Wie_f.C3.BCge_ich_eine_Rule_hinzu_zu_einer_Global_Policy_.28Global_Domain_Policy.29.3F FortiManager:FAQ#Wie_erfasse_ich_ein_.22Global_Object.22_und_wie_benutze_ich_dieses.3F 15. Hinzufügen der Global Policy zu einer ADOM FortiManager:FAQ#Wie_weise_ich_ein_entsprechende_Global_Policy_einer_ADOM_zu.3F 16. Erstellen eines Local Domain Policy Package FortiManager:FAQ#Wie_erstelle_ich_ein_neues_Policy_Package_.28Local_Domain_Policy.29.3F FortiManager:FAQ#Gibt_es_f.C3.BCr_Policy_Package_in_der_ADOM_eine_Backup_M.C3.B6glichkeit_.28Revisions.29.3F 17. Konfigurieren der Local Domain Policy (Rule hinzufügen) FortiManager:FAQ#Wie_f.C3.BCge_ich_eine_Rule_hinzu_zu_einer_Policy_.28Local_Domain_Policy.29.3F FortiManager:FAQ#Wie_erfasse_ich_ein_.22Dynamic.22_Global_Object_und_wie_benutze_ich_dieses.3F 18. Hinzufügen der Local Domain Policy zu einer Gruppe oder Device FortiManager:FAQ#Wie_weise_ich_ein_entsprechendes_Policy_Package_.28Local_Domain_Policy.29_einer_Device_Gruppe_und.2Foder_Device_zu.3F 19. Realtime/History Logs der FortiGate Devices FortiManager:FAQ#Auf_dem_FortiManager_sind_die_Men.C3.BC.27s.2FRegister_wie_.22Log_View.2C_Drill_Down.2C_Event_Managemen_sowie_Reports.22_nicht_ersichtlich.3F FortiManager:FAQ#Log_.2F_View 20. Drill Down für FortiGate Devices FortiManager:FAQ#Drill_Down 21. Reports Erstellen, Konfigurieren FortiManager:FAQ#Reports 22. Event Management FortiManager:FAQ#Event_Management 23. Backup / Restore FortiManager:FAQ#Wo_und_wie_kann_ich_ein_Backup_des_FortiManagers_durchf.C3.BChren.3F FortiManager:FAQ#Wie_kann_ich_.C3.BCber_CLI_eine_Backup_der_FortiManager_Konfiguration_durchf.C3.BChren.3F FortiManager:FAQ#Wie_f.C3.BChre_ich_auf_einem_FortiManager_f.C3.BCr_eine_FortiGate_einen_.22revert.22_durch.3F FortiManager:FAQ#Wie_tausche_ich_bei_einem_Defekt_einer_FortiGate_diese_im_FortiManager_aus.3F
Wo setze ich den Hostnamen für einen FortiManager?
Der Hostname wird folgendermassen konfiguriert:
System Settings > General > Dashboard > System Information > Hostname Datei:Fortinet-578.jpg
Wenn der entsprechende Hostname über Kommandozeile konfiguriert werden soll benütze folgende Kommandos:
# config system global # set hostname [Name des Host] # end
Wie kann ich Datum und Zeit manuell auf einem FortiManager setzen?
Das Datum und die Zeit können über das Web Mgmt. Interface gesetzt werden unter folgender Position:
System Settings > General > Dashboard > System Information > System Time
Wenn das Datum und/oder die Zeit über Kommandozeile angepasst werden soll benütze folgendes Kommando:
# execute time hh:mm:ss # execute date mm/dd/yyyy
Wie kann ich die entsprechende Zeitzone setzen sowie einen NTP Server?
Die Zeitzone sowie einen entsprechenden NTP Server kann unter folgender Position konfiguriert werden:
System Settings > General > Dashboard > System Information > System Time Datei:Fortinet-579.jpg
Datei:Fortinet-580.jpg
Wenn man die Zeitzone sowie den NTP Server über Kommandozeile konfigurieren möchte müssen folgende Kommandos benützt werden:
# config system global # set timezone [Gebe die entsprechende Zeitzone an] # end NOTE Durch die Angaben von "set timezone ?" werden die vers. Zeitzonenen aufgelistet und die entsprechende Nummer für die entsprechende Zeitzone kann konfiguriert werden. Für GMT+1 gilt "26".
Für den NTP Server benütze:
# config system ntp # set status [enable | disable] # config ntpserver # edit [Gebe einen Integer an zB "1"] # set server [Gebe die IPv4 Adresse oder den FQDN an] # set ntpv3 [enable | disable] # end # end #
Wie sieht die Grundkonfiguration (Netzwerk) eines FortiManagers aus?
Der FortiManager ist das zentrale Management Server. Wenn man zB über VMware einen FortiManager installiert (über ovf File) so muss dieser über die Console für den ersten Zugriff Grundkonfiguriert werden (Gilt auch für den Device) dh. damit später über das WebInterface zugegriffen werden kann. Diese Grundkonfiguration sieht folgendermassen aus:
Interface Konfiguration # config system interface # edit port1 # set ip [IP Adresse/Netmask] # set allowaccess https http ping # end
Default Gateway # config system route # edit 1 # set device port1 # set gateway [Gateway IP Adresse] # end
DNS Konfiguration # config system dns # set primary [DNS Server IP Adresse] # set secondary [DNS Server IP Adresse] # end
Danach kann anhand der gesetzten IP auf das WebInterface zugegriffen werden:
https://[IP Adresse]
Wo kann ich die Standard Ports 80 sowie 443 für die FortiManager Administration konfigurieren?
Per Standard läuft der FortiManager für die Administration auf Port 80 sowie 443. Diese Ports sind nur aktiv wenn diese auf dem entsprechenden Interface aktiviert werden. Möchte man die Ports verändern kann dies unter folgender Position durchgeführt werden:
System Settings > Admin > Admin Settings![]()
Wie schon erwähnt werden die Ports über das entsprechende Interface aktiviert oder deaktiviert:
System Settings > General > Network Datei:Fortinet-514.jpg
Was sind die "Maximum Values" eines FortiManager?
Nachfolgend eine Aufstellung (Matrix) der Maximum Values eines FortiManagers basierend auf FortiManager 5.0.4:
Welche Grundkonfiguration muss auf einer FortiGate durchgeführt werden um diese in den FortiManager einzubinden?
Informationen dazu siehe Artikel FortiManager:FAQ#Wie_f.C3.BCge_ich_einen_Device_zum_FortiManager_hinzu.3F
Ist die Komunikation zwischen einer FortiGate und einem FortiManager Verschlüsselt?
Die Kommunikation zwischen einer FortiGate und FortiManager ist verschlüsselt. Die Verschlüsselung (enc-algorithm) ist per Standard auf "default" gesetzt was wiederum folgendes bedeutet:
default — high strength algorithms and these mediumstrength 128-bit key length algorithms: RC4-SHA, RC4-MD5, RC4-MD
Wenn eine höhere oder tiefere Verschlüsselung gewünscht ist stehen "high" sowie "low" ebenfalls zur Verfügung was wiederum folgendes bedeutet:
high — 128-bit and larger key length algorithms: DHE-RSA-AES256-SHA, AES256-SHA, EDH-RSA-DES-CBC3-SHA, DES-CBC3-SHA, DES-CBC3-MD5, DHE-RSA-AES128-SHA, AES128-SHA low — 64-bit or 56-bit key length algorithms without export restrictions: EDH-RSA-DES-CDBC-SHA, DES-CBC-SHA, DES-CBC-MD5
Um die entsprechende Verschlüsselung zu setzen benütze auf der CLI folgendes Kommando:
# config system central-management settings # set enc-algorithm [default | high | low | disable] # end
Welche Ports benützt der FortiManager und müssen freigegeben werden für eine einwandfreie Komunikation mit einer FortiGate?
Die nachfolgenden Informationen basieren auf FortiManager 5 im Zusammenhang mit einer FortiGate. Sie beschreiben nicht andere Verbindungen wie die FortiGuard Komunikation die für den FortiManager ebenfalls -sofern konfiguriert und benützt- benutzt werden. Eine FortiGate kann auf zwei Arten in einen FortiManager eingebunden werden dh.
FortiManager --> zu FortiGate (Outbound) oder FortiGate --> zu FortiManager (Inbound)
Je nach Komunikation dh. Inbound/Outbound ist die Einbindung unterschiedlich. Empfohlen ist beide Komunikationswege zu öffnen. Speziell da der FortiManager unter FortiOS 5 neu das Logging einer FortiGate unterstützt. Zwei Ports werden benützt vom FortiManager um eine FortiGate zu managen:
TCP/UDP 541 Management Verbindung (Inbound/Outbound) TCP/UDP 514 Log Verbindung (Inbound)
Somit -sofern ein FortiManager mit einer "Private IP" addressiert ist- muss ein einwandfreies Inbound NAT sowie ein einwandfreies Outbound NAT konfiguriert werden auf der FortiGate die den FortiManager schützt. Weitere Informationen betreffend NAT Implementierung auf einer FortiGate findet man im den nachfolgenden Artikel:
Fortigate:FAQ#Wie_wird_ein_NAT_auf_einer_Fortigate_implementiert.3F
Bei der Implementierung eines FortiManagers ist deshalb folgende Ueberlegungen anzustellen:
- Soll der FortiManager mit einer "Public" oder "Privat" IP Adresse adressiert werden? - Wenn "Private" IP adressiert wie sieht die Belastung auf der Firewall aus die den FortiManager schützt (Log und Management Traffic)? - Wenn der FortiManager "Public" IP adressiert wird wie wird der FortiManager gemanaged? - Wenn der FortiManager als VMware betrieben wird welche Interfaces stehen auf der VMware zur Verfügung (Shared Interface vers. Segmente) - Wenn der FortiManager "Public" IP adressiert wird "wem" gehört die "Public" IP Adresse und was geschieht bei einem Wechsel des ISP? - usw.
Grundsätzlich ist es eine Ueberlegung wert den FortiManager "Public" zu adressieren egal ob er durch eine Firewall geschützt wird oder nicht (Transparent). Ein managen von Devices über eine NAT Verbindung ist zwar möglich aber mit zusätzlichen Aufwänden (NAT Implementierung, Performance etc.) verbunden. Auf jedenfall ist es empfohlen -wenn der FortiManager "Public" adressiert wird- ein seperats Management Interface auf dem FortiManager zu konfigurieren und dieses über eine Firewall in ein CTL (Controll Net) zu schützen. Somit wäre der FortiManager "nicht" direkt über die "Public" IP Adresse erreichbar sondern nur über die Firewall anhand des Management Interfaces das "Private" adressiert ist. Um dennoch von Aussen dh. übers Internet den FortiManager zu managen kann eine VPN Verbindung benutzt werden um auf das "Private" adressierte Management Interface zu zugreifen. Nachfolgendes Dokument zeigt vers. Möglichkeiten und deren Komunikationswege:
Datei:FMG to FGT-communication.pdf
Nachfolgendes Dokument wurde von Fortinet released und zeigt die Ports und Komunikationswege des FortiManagers für die Versionen 4.3, 5.0.6 und 5.2:
Datei:FortiManager 4.3-5.0.6-5.2 port and protocol usage KB v1.4.pdf
Fortinet stellt ebenfalls ein Dokument zur Verfügung in dem diese Informationen betreffend den Fortinet Produkten wie FortiAnalyzer, FortiManager, FortiGate usw. dargestellt sind:
Datei:FortinetOpenPorts.pdf
Kann der FortiManager in Zusammenhang mit FortiAnalyzer im "Collector" Mode benützt werden?
Ein FortiAnalyzer kann im "Collector" Mode Logs von vers. FortiGate's weiterleiten zu einem FortiAnaylzer der nicht im "Collector" Mode ist. Diese Art und Weise kann nicht im Zusammenhang mit einem FortManager konfiguriert werden dh. der FortiManager kann nur als zentraler Log Server im Zusammenhang mit FortiGates eingesetzt werden. Dies bedeutet: Wenn diese FortiGates die Logs "direkt" dem FortiManager übermitteln. Weitere Informationen betreffend FortiAnalyzer im "Collector" Mode siehe folgender Artikel:
FortiAnalyzer:FAQ#In_welchen_Mode_kann_ein_FortiAnalyzer_betrieben_werden.3F
Was muss ich berücksichtigen betreffend Mgmt. Traffic wenn ich eine FortiGate mit VDom's in den FortiManager integriere?
Weitere Informationen siehe Artikel:
Fortigate:FAQ#In_Zusammenhang_mit_VDom.27s_auf_einer_FortiGate_.C3.BCber_welche_VDom_l.C3.A4uft_der_Mgmt._Traffic.3F
Auf was muss geachtet werden betreffend Lizenz wenn eine bestehende FortiManager Installation neu aufgesetzt wird?
Bei einer FortiManager License wird die Serien Nummer beim Registrierungsvorgang über das Support Portal (Register/Renew) erstellt. Dabei muss die IP angegeben werden die der FortiManager benutzt. Anhand dieser IP wird beim Registrierungsvorgang die effektive Serien Nummer des FortiManager generiert (Per Standard FAZ000000000). Will man nun eine "neue" Installation -der bestehenden Installation- resp. Lizenz durchführen, muss darauf geachtet werden das die "gleiche" IP -wie durch die Orginal Installation- benutzt wird. Wenn die IP gewechselt wird kann die Lizenz nicht eingespielt werden (Error "ip does not match") da daraus sich eine neue Serien Nummer ergiebt resp. das File mit der IP nicht mehr übereinstimmt. Wenn die IP gewechselt werden muss so muss ein erneueter Registrierungsvorgang durchgeführt werden. Dieser kann über das Support Portal unter Manage/Renew durchgeführt werden indem man die bereits bestehende Lizenz anwählt und die IP wechselt. Aus unbestätigten Quellen soll dies 3 mal möglich sein danach muss ein Customer Ticket eröffnet werden um den Counter zurückzustellen. Wird eine neue Lizenz bei einem IP Wechsel in den FortiManager eingespielt muss der FortiManager manuell neu gestartet werden damit diese aktiv wird.
ACHTUNG Ein FortiManager komuniziert ebenfalls in die FortiCloud dh. würden 2 Installationen zur gleichen Zeit existieren, würde eine davon deaktiviert werden da diese auf der gleichen Lizenz basieren. Somit wir die Lizenz eines FortiManager in der FortiCloud verifiziert.
Wie kann ich einen FortiManager zurücksetzen (full unit reset)?
Um die Konfiguration eines FortiMangaers "Vollumfänglich" (full unit reset) zurück zu setzen führe folgndes aus:
# execute reset all-settings NOTE Die "gesamte" Konfiguratin geht verloren und es wird eine Neustart ausgeführt!
Wenn nachfolgendes Kommando durchgeführt wird werden alle Informationen auf der Disk gelöscht (Device Settings/Images, VPN & Update Manager Database, Log Data) jeodch die IP des FortiManagers sowie dessen Routing Informtionen bleiben erhalten:
# execute format disk-ext4
Auf dem FortiManager sind die Menü's/Register wie "Log View, Drill Down, Event Managemen sowie Reports" nicht ersichtlich?
Ab FortiManager 5.0.5 wurde auf dem FortiManager ein neue Funktion implementiert dh. das Feature Set des FortiAnalyzers, dass im FortiManager enthalten ist, kann komplett ausgeblendet werden. Wenn der FortiManager "keine" Logs verarbeitet sondern zB ein seperater FortiAnalyzer besteht, macht es Sinn diese Menü's/Register auszublenden um die Uebersicht besser zu gestalten. Nach Release Notes sind die Menüs des FortiAnalyzer ab Version 5.0.5 per Standard ausgeblendet. Das zuständige Kommando um das Feature Set des FortiAnalyzer ein- resp. auszublenden ist der Folgende:
# config system global # set faz-status [enable / disable] # end Changing faz status will affect FAZ feature in FMG. If you continue, system will reboot to add/remove FAZ feature. Do you want to continue? (y/n)
ADOM
Was sind ADOM's und welche Ueberlegung sind in diesem Zusammenhang zu berücksichtigen?
ADOMs (Administrative Domains) sind virtuelle Container die Devices (FortiGate, VDOM) in verschiedenen ADOMs enthalten die durch die vers. Administratoren mit deren Rechten (Service Access Profile) administriert werden. Der "admin" Root Account hat sämtliche Rechte ALLE ADOMs zu administrieren. Zusätzliche erstellte Administratoren erhalten die nötigen Rechte ADOMs zu administrieren durch deren Profile. Die Funktion kann über folgende Menüpunkt im WebGui aktiviert werden:
System Settings > General > Dashboard > Administrative Domains > Enable Datei:Fortinet-588.jpg ACHTUNG Wenn über das WebGui die ADOM Funktionalität aktiviert wird so wird der "adom-mode" auf "normal" gesetzt dh. wenn dieser auf "advanced" gesetzt werden soll so kann dies über die CLI konfiguriert werden (set adom-mode [advanced oder normal]) oder über das WebGui:
Um den ADOM "advanced" Mode über WebGui zu aktivieren führe folgendes durch:![]()
Ueber CLI wir die Funktion ADOM folgendermassen aktiviert (FortiOS 5):
# config system global # set adom-status [enable oder disable] # set adom-mode [advanced oder normal] # end
Durch die Aktivierung "adom-status enable" werden alle bestehenden Daten in die ADOM "root" verschoben! Die Funktion "adom-mode" sollte nur in den "advanced" Mode gesetzt werden sofern VDom's seperiert werden sollen/müssen dh. wenn der "normal" Mode gilt, können VDom's von "einer" FortiGate nicht als einzelne Firewall Instanzen in verschiedenen separaten ADOM's existieren und konfiguriert werden.
ADOMs können im "normal" Mode sowie als "backup" Mode erstellt werden; Was ist der Unterschied?
Wenn eine ADOM als "normal" Mode erstellt wird so wir die ADOM als "read/write" erstellt. In diesem Mode kann der entsprechende Administrator mit den entsprechenden Rechten einen Device sowie die ADOM administrieren und modifizieren. Die FortiGate Devices in so einer ADOM senden alle 5 Sekunden Anfragen betreffend deren Konfiguration zum FortiManager resp. zur entsprechenden ADOM im "normal" Mode. Wenn der FortiGate Device Aenderungen in der entsprechenden ADOM auf dem FortiManager feststellt sendet (FGFM Protokoll) der FortiGate Device eine "diff" Revision (Unterschied in der Konfiguration).
Wenn eine ADOM im "backup" Mode erstellt wird so wird die ADOM als "read-only" erstellt. In dieser ADOM können keine Konfigurationen oder Modifikationen durchgeführt werden an den FortiGate Devices sowie an der ADOM. Konfigurationen können nur über "scripts" (Script Funktion FortiManager) auf den FortiGate Devices durchgeführt werden. Ebenso sind Konfigurationen sowie Modifikationen auf dem FortiGate Device über das WebGui sowie über die CLI möglich. "diff" Revisionen werden nur zum FortiManager in die entsprechende ADOM gesendet wenn folgende Voraussetzungen gegeben sind:
• Konfigurations Aenderungen und Sessions Timeouts • Konfigurations Aenderungen und Logouts • Konfigurations Aenderungen und Reboots • Manuelle Backup der Konfiguration auf dem FortiGate Device
Dieser Mode "backup" wird ausschliesslich benützt um die Konfiguration der FortiGate Device's zu sichern (Backup). In diesem Mode können die FortiGate Devices augewertet werden (sofern auf dem FortiManager die Logs der FortiGate Devices vorhanden sind) sowie die "diff" Revision (Aenderungen) aufgezeichnet werden. Desweiteren ist zu berücksichtigen, dass wenn eine FortiManager resp. eine ADOM im "backup" Mode betrieben wird, die FortiGate deren Update betreffend FortiGuard vom FortiManager beziehen müssen (gilt für FortiOS 5.0). Unter FortiOS 5.2 fällt der Umstand, dass die FortiGate Devices Ihre Update vom FortiManager beziehen müssen weg dh. unter FortiOS 5.2 können FortiGate's im "backup" Mode betrieben werden und die Updates können von den FortiGuard Servern oder vom FortiManager bezogen werden. Um eine FortiGate so zu konfigurieren, dass diese den "backup" Mode auf einem FortiManager benutzt muss folgendes auf der FortiGate konfiguriert werden:
# config system central-management # set mode backup # set fortimanager-fds-override enable # set fmg [IPv4 Adresse des FortiManagers] # end NOTE Wenn "fortimanager-fds-override" aktiviert ist werden die FortiGuard Server überschrieben dh. die FortiGate benutzt als FortiGuard Server die IP des FortiManagers. Dabei ist zu berücksichtigen, dass nicht alle Versionen eines FortiManagers die Update für FortiGuard zur Verfügung stellen können. Weitere Informationen dazu siehe nachfolgender Artikel: FortiManager:FAQ#Wenn_die_Service_FortiGuard_vom_FortiManager_bereitgestellt_werden_wie_sieht_die_Kommunkation_aus.3F
Wie kann ich verhindern, dass vers. Administratoren zur gleichen Zeit eine ADOM modifizieren?
Wenn vers. Administratoren existieren und diesen auf gleiche ADOM's Zugriff erhalten so kann es vorkommen, dass zwei Administratoren zur gleichen Zeit eine ADOM resp. FortiGate Device modifizieren. Dies ist per Standard gegeben. Möchte man dies verhindern so muss der sogenannte "workspace" aktiviert werden dh. beim Log-In eines Administrators wird die entsprechende ADOM "locked" und somit kann nur ein Administrator eine ADOM konfiguriere sowie modifizieren. Um die "workspace" Funktion zu aktivieren gebe folgenden Befehl auf der CLI ein:
# config system global # set workspace-mode [disabled | normal | workflow] # end NOTE Es gibt die Möglichkeit, dass ein Administrator das Recht besitzt einen anderen Administrator auszuloggen (kick off) dh. wenn ein Administrator sich einloggt und Aenderungen durchführen muss, jedoch die ADOM momentan durch einen anderen Administrator "locked" ist, kann der Administrator der die Aenderungen ausführen soll den Administrator der die ADOM locked ausloggen (kick off). Alle Aenderungen, die nicht abgespeichert wurden durch den Administrator der ausgeloggt (kick off) wird, gehen verloren. Um diese Funktion einzuschalten benütze zusätzlich zum "workspace-mode normal" folgender Befehl: # set lock-preempt [enable | disable] Zusätzlich gibt es die Möglichkeit mit der Option "workflow" zu arbeiten dh. ein Administrator hat zwar die Rechte anhand folgenden Befehls (workflow) eine Implementierung in der Policy durchzuführen, jedoch muss diese durch einen Administrator der die Rechte verfügt (extra Optionen in der "admin" Page) Approved werden:
# config system global # set workspace-mode workflow # end # config system admin profile # edit [Name für das Admin Profil] # set type system # workflow-approve [none | read | read-write] # end # config system admin user # edit [Username des Administrators] # set password <password_string> # set profileid <profile-name> # end
Wenn die Funktion für "workspace-mode" auf "normal" steht muss der entsprechende Administrator im Device Manager sowie in der entsprechenden ADOM diese zuerst auf "lock" setzen bevor dieser Konfigurationen sowie Modifikationen durchführen kann. Nachträglich sollte wieder ein "unlock" gesetzt werden damit der nächste Administrator der sich einloggt ebenfalls wiederum ein "lock" setzen kann. Wenn die Option "lock-preempt" auf "enable" steht werden beim ausloggen alle "lock's" entfernt". Steht diese Option auf "disable" bleiben beim ausloggen die "lock's" bestehen:
Datei:Fortinet-462.jpg Nachdem setzen des "lock" sieht man das entsprechende Symbol (grün eingefärbt) auf der entsprechenden ADOM auf dem der "lock" gesetzt wurde: Datei:Fortinet-463.jpg NOTE Die vers. Status Anzeigen betreffend dem "lock/unlock" bedeuten folgendes: • Grey lock : Die ADOM ist im "unlocked" Status und ist "read/write". • Green lock : Die ADOM ist im "locked" Status dh. der momentane Administrator ist eingeloggt. • Red lock : Die ADOM ist "locked" bei einem anderen Administrator. Nun kann die ADOM Modifiziert sowie Konfiguriert werden da ein "lock" gesetzt wurde: Datei:Fortinet-464.jpg Um wieder ein "unlock" zu setzen führe folgendes durch: Datei:Fortinet-465.jpg
Um die "workspace" Funktion wiederum zu deaktiveren führe folgendes aus: # config system global # set workspace disable Warning: disabling workspaces may cause some logged in users to lose their unsaved data. Do you want to continue? (y/n) # end
Wie erstelle ich eine neue ADOM und auf was muss ich dabei achten?
Bevor eine neue ADOM erstellt wird sollte folgendes berücksichtigt werden (Siehe nachfolgende Artikel):
FortiManager:FAQ#Was_sind_ADOM.27s_und_welche_Ueberlegung_sind_in_diesem_Zusammenhang_zu_ber.C3.BCcksichtigen.3F FortiManager:FAQ#ADOMs_k.C3.B6nnen_im_.22normal.22_Mode_sowie_als_.22backup.22_Mode_erstellt_werden.3B_Was_ist_der_Unterschied.3F
Eine neue ADOM kann folgendermassen erstellt werden:
Device Manageer > "root" ADOM markieren > Rechte Maustaste Datei:Fortinet-459.jpg
Achte auf den Mode der zu wählen ist (siehe Artikel oben)! ACHTUNG Es ist zu empfehlen die "Central VPN Console" zu wählen denn dann können die Device in einer ADOM über diese Console konfiguriert werden. Ansonsten muss ein VPN über die Policy sowie Devices konfiguriert werden was solange nicht ein MUSS (Interobability Device) nicht zu empfehlen ist! Datei:Fortinet-460.jpg
Datei:Fortinet-461.jpg
Kann ich in einer ADOM FortiGate's Devices mit FortiOS 4.3 und 5 mischen?
Neu ab FortiOS 5.0.4 ist dies möglich dh. eine ADOM kann FortiOS 4.3 und/oder auch FortiOS 5.0.4 beinhalten. Dies ermöglicht ein nahtloses Migrations-Szenario!
NOTE Die Empfehlung von Fortinet ist jedoch nur auf ein solches Scanarion zurück zu greifen, wenn eine Migration statt findet. Ein regulärer Betrieb von "einer" ADOM mit beiden FortiOS paralell ist nicht zu empfehlen empfehlen!
In einem Upgrade Scenario muss folgender Ablauf berücksichtigt werden:
Ausgangslage: - ADOM mit 4.3 Devices. - FortiManager 5.0.4 oder höher. - Reguläres Backup des FortiManagers Weiteres Vorgehen: - Erstellung eines Backup Files der 4.3 basierenden FortiGate. - Upgrade eines 4.3 basierenden FortiGate Devices auf 5.0.4. - Nachdem Upgrade des 4.3 basierenden FortiGate Devices führe eine Resynchronisierung durch. - Nach der Resynchronisierung des nun "neu" 5.0.4 basierenden FortiGate Devices zeigt sich für die ADOM folgender Status: "ADOM Objekte sowie Policy Package bleiben 4.3 basierend" - Führe ein Upgrade für die restlichen 4.3 basierenden FortiGate Devices durch! - Nachdem für "ALLE" 4.3 basierenden FortiGate Devices ein Upgrade auf 5.0.4 durchgeführt wurde führe ein Upgrade für die ADOM aus. Wähle dazu im WebGui des FortiManagers folgendes: System Settings > All ADOMS > [Wähle die entsprechende 4.3 basierende ADOM] > [Rechte Maustaste] > UpgradeNOTE Wenn in der ADOM 4.3 basierende FortiGate Devices verbleiben wird das Upgrade der ADOM zur V 5.0 verweigert!
![]()
![]()
![]()
Device Manager
Wie erstelle ich eine Device Gruppe und wie verwende ich diese?
Eine Device Gruppe kann folgendermassen erstellt werden:
Device Manager > [Wähle die entsprechende ADOM] > Rechte Maustaste![]()
Der entsprechende Device kann hier angewählt und hinzugefügt werden dh. markiere den/die entsprechenden Device und verschiebe die Einträge nach Rechts. Die Devices können ebenfalls später hinzugefügt werden:
Die erstellt Gruppe findet man nachträglich unter der entsprechenden ADOM:
Um einen existierenden Device (bereits vorhanden unter "All FortiGate) in diese "Device Gruppe" hinzuzufügen wähle:
Um einen -noch nicht- existierenden Device (nicht vorhanden unter "All FortiGate) in diese Device Gruppe hinzuzufügen wähle:
Was ist ein Provisioning Template (Device Profile) und wie Konfiguriere und Weise ich dieses einem Device zu?
Ein Provisioning Template (Device Profile) definiert die Grundkonfiguration eines Gerätes. Diese Grundkonfiguration resp. Profile kann einer Gruppe von Device's oder einem Device direkt zugeordnet werden (linked). Wenn ein Profile einer Gruppe oder Device hinzugefügt wird so wird die Konfiguration eines Device aus diesem Profil gespiesen und nicht aus der FortiManager Datenbank. Es existiert ein "default" Profil das benützt werden kann für eine "default" Konfiguration. Um ein Profile zu erstellen wähle folgende Position:
"Device Manager > Provisioning Templates > [Wähle die entsprechende ADOM] > System Templates > default![]()
Diese Profiles basieren auf "Widget's" die über folgende Position ein- und ausgeblendet werden können:
Die einzelnen "Widget's" umfassen folgende Positionen:
Um ein neues Device Profil anzulegen wähle:
"Device Manager > Provisioning Templates > [Wähle die entsprechende ADOM] > System Templates > [Rechte Maustaste] > Create NewNOTE Wenn ein existierender FortiGate Device als Template dienen soll kann diese Konfiguration des Devices über die Position "Create from Device" als neues Profile angelegt werden!
Um einen Device einem entsprechendes Profile hinzuzufügen führe folgendes durch:
NOTE Wenn eine "Device Gruppe" existiert kann diese Gruppe unter dem entsprechenden "Device Profile" ausgewählt werden. Weitere Informationen siehe: FortiManager:FAQ#Wie_erstelle_ich_eine_Device_Gruppe_und_wie_verwende_ich_diese.3F Um ein Device Profil auf einem Device zu installieren siehe Artikel: FortiManager:FAQ#Wie_installiere_ich_ein_Device_Profil_.28Provisioning_Templates.29_das_einem_Device_zugewiesen_wurde_auf_diesem_Device.3F
Was wird genau durchgeführt wenn vom DeviceManager für eine FortiGate der Installations-Prozess gestartet wird?
Wenn im FortiManager unter dem Device Manager eine Installation für einen FortiGate Device gestartet wird so wird technisch gesehen folgendes durchgeführt:
Wie installiere ich ein Device Profil (Provisioning Templates) das einem Device zugewiesen wurde auf diesem Device?
Um ein entsprechendes Device Profil auf einen Device dh. FortiGate zu installieren gehe folgendermassen vor:
Device Manager > [Wähle die Entsprechende ADOM] > Rechte Maustaste![]()
Es erscheint ein Wizard um die Installation durchzuführen. Es kann ein "Comment" für die Installation eingegeben werden:
Datei:Fortinet-504.jpg
Wähle nun den entsprechenden Device und/oder Gruppe. In unserem Beispiel ist zB das Profile local-device-profile" zugewiesen der Gruppe "local-group":
Datei:Fortinet-505.jpg
Unter "Preview" kann eingesehen werden was durchgeführt wird als "Kommandozeilen Auszug". Ebenfalls kann dieser "Kommandozeilen Auszug" als TXT File unter "Download" runtergeladen werden:
Datei:Fortinet-506.jpg
Nun kann die entsprechende Installation auf dem Device und/oder Gruppe durchgeführt werden. Nach Abschluss kann man unter "History" die entsprechenden Einträge resp. der Verlauf der Installation einsehen:
Datei:Fortinet-507.jpg
Wie füge ich einen Device zum FortiManager hinzu?
Um einen Device (FortiGate) zu einem FortiManager hinzuzufügen muss berücksichtigt werden ob die ADOM Funktion aktiviert worden ist oder nicht und in welcher Art (advanced | normal)! Weitee Informationen zum Thema ADOM's siehe nachfolgender Artikel:
FortiManager:FAQ#Wie_erstelle_ich_eine_neue_ADOM_und_auf_was_muss_ich_dabei_achten.3F
Die empfohlen Vorgehensweise um einen Device hinzuzufügen ist einen User (Administrator) und Passwort auf dem jeweiligen Device zB FortiGate zu erstellen um diesen zu benützen den Device hinzuzufügen resp. zu Authentifizieren. Dieser User resp. Administrator wird folgendermassen auf einer FortiGate WebGui erstellt:
Datei:Fortinet-466.jpg NOTE Der User muss über "super_admin" Rechte verfügen um diesen User für die Einbindung auf einem FortiManager zu benutzen. Sofern gewünscht kann dieser User über die Funktion "Trusted Hosts" eingeschränkt werden dh. aus welchem IP Bereich/Subnet dieser Administrator sich einloggen kann. Es ist nicht zu empfehlen den "regulären" User "admin" dazu zu benützen diese Einbindung in den FortiManager durchzuführen.
Aktiviere auf dem entsprechenden Interface den "FMG-Access" dh. über dieses Interface komuniziert der Device dh. FortiGate mit dem FortiManager:
Datei:Fortinet-474.jpg
Eine Einbindung des Device kann anhand eines Requests auf dem Device resp. FortiGate durchgeführt werden oder über den FortiManager "requested" werden:
"Request von einem FortiGate Device" Datei:Fortinet-467.jpg NOTE In diesem Beispiel stellt die IP 192.168.140.20 die IP des FortiManagers dar! Gehe nun auf "Send Request": Datei:Fortinet-468.jpg NOTE Nachdem man auf "Continue" geht wird man sofort ausgeloggt! Wenn man sich wieder einloggt sieht man oben im Menübalken nachfolgendes Symbole was wiederum bedeutet, dass dieser Device im Begriff ist sich im "Central Mgmt." einzubinden. Möchte man in dieser Zeit wiederum Gewalt über die Konfiguration verschaffen, muss auf dieses Symbole angewählt werden und es erscheint danach folgendes: Datei:Fortinet-472.jpg Datei:Fortinet-473.jpg Zurück auf dem FortiManager erscheint nun folgendes: Datei:Fortinet-469.jpg NOTE Wähle die entsprechende ADOM unter die der Device konfiguriert werden soll (unser Beispiel "local") sowie gebe den entsprechenden User (Administrator) und Passwort an der benutzt werden soll um den Device einzubinden (FMG-Admin). Gehe nun auf "Apply" und es erscheint folgendes: Datei:Fortinet-475.jpg Solange der Device nicht korrekt eingebunden ist/wird erscheint auf der Menü Position auf der wir den "Request" abgesetzt haben folgendes: Datei:Fortinet-470.jpg
"Request von einem FortiManager" Wähle im FortiManager Gui folgendes: Device Manager > [Wähle die entsprechende ADOM] > Rechte Maustaste Datei:Fortinet-477.jpg Datei:Fortinet-478.jpg NOTE Es ist zu empfehlen den "Discover Mode" zu wählen! Gebe die IP an der FortiGate sowie den erstellten Administratoren Account mit dessem Passwort! Datei:Fortinet-479.jpg NOTE Wenn eine bestimmte "Device Gruppe" bereits existiert kann der zu einzubindende Device direkt in diese Gruppe anhand der Funktion "Add to Groups" hinzugefügt werden. Dies kann jedoch auch später durchgeführt werden! Für weitere Informationen siehe folgender Artikel: FortiManager:FAQ#Wie_erstelle_ich_eine_Device_Gruppe_und_wie_verwende_ich_diese.3F Datei:Fortinet-480.jpg Datei:Fortinet-481.jpg NOTE "Device Profiles" können erstellt werden um die Grundkonfiguration eines Gerätes durchzuführen. Wenn kein Device Profile existiert ausser dem "default", wähle dieses "default" Profile! Profiles können ebenfalls später erstellt und den Devices zugeordnet werden! Weitere Informationen siehe: FortiManager:FAQ#Wie_installiere_ich_ein_Device_Profil_.28Provisioning_Templates.29_das_einem_Device_zugewiesen_wurde_auf_diesem_Device.3F Datei:Fortinet-482.jpg Datei:Fortinet-483.jpg Datei:Fortinet-484.jpg Datei:Fortinet-485.jpg Datei:Fortinet-486.jpg Datei:Fortinet-487.jpg NOTE Nach der Einbindung des Devices in den FortiManager wird als Bestätigung auf dem FortiGate Device unter "System > Admin > Settings > Central Management" ein "Registered on FortiManager" angezeigt!
Kann ich einen Device -der noch nicht existiert- vorgängig im FortiManager für die Vorbereitung importieren/erstellen?
Ja, diese ist möglich wähle dazu im FortiManager:
Device Manager > Device & Groups > [Wähle die entsprechende ADOM] > [Rechte Maustaste] > Add Device
Nun startet ein Wizard wähle in diesem:
Add Modell Device
Gebe IP sowie Username und Passwort an. Anhand dieser Angaben wird sich der neue Device sobald er Online ist verbinden. Danach gehe durch den Wizard und der Device wird in die entsprechende ADOM importiert. Nun kann der Device mit der entsprechenden Policy, System Settings etc. vorbereitet werden. Sobald der Device Online geht und sich mit dem FortiManager Kontakt aufnimmt kann die Policy sowie Device Settings zum Device "gepushed" resp. installiert werden.
Was wird durchgeführt wenn für ein Device ein "refresh" durchgeführt wird?
Wenn im Device Manager für einen Device ein "refresh" durchgeführt wird so werden Informationen des Devices sowie FortiGate HA Cluster Informationen auf den neusten Stand gebracht:
Datei:Fortinet-511.jpg
Eine andere Möglichkeit den "refresh" durchzuführen ist im Device Manager unter dem entsprechenden Device im "Dashboard" des Devices im Abschnitt "Connection Summary > Connectivity":
Wie kann ich für einen bestimmten Device zusätzliche Konfigurationspunkte einblenden und/oder ausblenden?
Per Standard wird innerhalb des Device Managers für einen Device vers. Konfigurationspunkte angezeigt:
Möchte man nun einen bestimmten Konfigurationspunkt und/oder Thema zusätzlich einblenden oder einfach ausblenden kann dies folgendermassen durchgeführt werden:
Was bedeuten die verschiedenen "Config Status" im Device Manager?
Je nach Situation kann der Device Manager verschiedene Status Meldungen unter "Config Status" anzeigen. Diese verschiedenen "Config Status" sind die folgende und bedeuten folgendes:
Weitere Informationen zu diesen Stati im Device Manager siehe folgende Artikel:
FortiManager:FAQ#Der_Device_Manager_zeigt_unter_Sync_Status_.22Out-of-sync.22_an.2C_was_ist_zu_tun.3F FortiManager:FAQ#Was_bedeutet_im_Device_Manager_unter_Config_Status_.22Synchronised_by_Auto_Update.22.3F
Der Device Manager zeigt unter Sync Status "Out-of-sync" an, was ist zu tun?
Nun wenn die FortiGate modifiziert wird lokal sei es über das Mgmt. WebInterface oder über CLI so geht die Konfig gegenüber dem FortiManager der diese Aenderung -noch nicht reflektiert- "Out-of-sync". Dies wird über folgende Position angzeigt:
Device Manager > [Wähle die entsprechende ADOM] > [Wähle den entsprechende Device] > Dashboard > Configuration and Installation Status > Sync Status![]()
Um die Konfiguration der FortiGate wiederum mit dem FortiManager Inline zu bringen kann die Konfig -sofern gewünscht- von der FortiGate "geholt" (retrieve) werden dh. dazu benützt man die Funktion "Revision History":
Anhand der "Retrieve" Funktion kann nun die Konfiguration der FortiGate in den FortiManager geholt werden:
NOTE Dieser Vorgang "Retrieve" spielt auf dem FortiManager nur die "Device Settings" ein und nicht zB die Policy! Soll dieser Vorgang über Kommandozeile durchgeführt werden siehe nachfolgender Artikel: FortiManager:FAQ#Wie_kann_ich_die_Konfiguration_eines_Devices_auf_dem_FortiManager_.C3.BCber_die_Kommandozeile_einspielen_.28retrieve.29.3F![]()
NOTE Durch die Details können zB die History eingesehen werden:
![]()
Was bedeutet im Device Manager unter Config Status "Synchronised by Auto Update"?
Der Status bedeutet, dass auf der FortiGate ein "System Setting" zB Adress Objekt Modifikation durchgeführt wurden. Solche Modifikationen (System Settings) werden automatisch zum FortiManager übermittelt. Der Status bedeutet ebenfalls, dass eine Aktion vom Administrator durchgeführt werden muss. Der Change wurde zwar in der Datenbank eingetragen unter:
Device Manager > Device & Groups > [Wähle die entsprechende ADOM] > [Wähle die entsprechende FortiGate] > Configuration and Installation Status > Database Configuration
Jedoch wird nicht auf dem FortiManager reflektiert. Bedeutet: Sucht man die Aenderung (wenn diese bekannt ist) so wird diese nicht im FortiManager reflektiert, da diese "Aenderung" nur in der Datenbank reflektiert wird. Will man herausfinden "WAS" genau geändert wurd kann unter folgender Position ein sogenannter "Diff" ausgeführt werden:
Device Manager > Device & Groups > [Wähle die entsprechende ADOM] > [Wähle die entsprechende FortiGate] > Configuration and Installation Status
Unter "Total Revisions > Revision History" kann nun unter [View Installation History] die gesamte Revision eingesehen werden. Dies bedeutet: Wir wählen den ersten Eintrag der die Unterschiede aufzeigt seit der letzten Revision. Diese Unterschiede sind die Aenderungen der den "Config Status" "Synchronised by Auto Update" ausgelöst hat. Und nun kann entschieden werden ob diese Aenderungen in den FortiManager importiert werden sollen. Dies bedeutet für die Device Settings und Policy folgendes:
Für die Device Settings (Wähle unter "Revision History" den "Retrieve" Button) Für die Policy (Wähle im Device Manager den entsprechenden Device > Rechte Maustaste > Import Policy)
Wie kann ich die Konfiguration eines Devices auf dem FortiManager über die Kommandozeile einspielen (retrieve)?
Wenn ein Device auf einem FortiManager "Out-of-sync" geht und die Konfiguration des Devices im FortiManager eingespielt werden soll (exkl. Policy Package) so kann dies über das Web Mgmt. Interface des FortiManagers durchgeführt werden. Dazu siehe nachfolgender Artikel:
FortiManager:FAQ#Der_Device_Manager_zeigt_unter_Sync_Status_.22Out-of-sync.22_an.2C_was_ist_zu_tun.3F
Dies kann auch über die Kommandozeile explizit für einen Device durchgeführt werden. Dazu führe folgendes aus:
Eruieren der Device OID" # diagnose dvm device list There are current 4 devices managed: TYPE OID SN HA IP NAME ADOM FIRMWARE fmg/faz enabled 1321 FAZ-VM0000013255 - 198.18.0.12 alsochlu-fortinet-faz FortiAnalyzer 5.0 MR0 (365) |- STATUS: conn: up fmg/faz enabled 1196 FG300C3913601712 a-p 198.18.0.1 alsochlu-sg0e0 root 5.0 MR0 (310) |- STATUS: db: not modified; conf: in sync; cond: OK; dm: autoupdated; conn: up HA cluster member: FG300C3913601712 (master) HA cluster member: FG300C3913602452 (slave 0) |- vdom:[3]root flags:1 adom:root pkg:[unknown]alsochlu-sg0e1_root |- vdom:[101]VDOM-dmz flags:1 adom:VDOM-dmz pkg:[unknown]alsochlu-sg0e1-VDOM-dmz |- vdom:[102]VDOM-cisco flags:0 adom:VDOM-cisco pkg:[unknown]alsochlu-sg0e1_VDOM-cisco |- vdom:[104]VDOM-ibm flags:0 adom:VDOM-ibm pkg:[unknown]alsochlu-sg0e1_VDOM-ibm |- vdom:[103]VDOM-hp flags:0 adom:VDOM-hp pkg:[unknown]alsochlu-sg0e1_VDOM-hp |- vdom:[105]VDOM-wan flags:0 adom:VDOM-wan pkg:[unknown]alsochlu-sg0e1_VDOM-wan fmg/faz enabled 1547 FGT40C3912008918 - 188.62.22.148 meyerbe-sg0e0 ADOM-meyerbe 5.0 MR0 (310) |- STATUS: db: not modified; conf: in sync; cond: OK; dm: retrieved; conn: up |- vdom:[3]root flags:0 adom:ADOM-meyerbe pkg:[unknown]meyerbe-sg0e0 fmg/faz enabled 1188 FGT60C3G12013754 - 82.136.123.97 schaltyv-sg0e0 ADOM-schaltyv 5.0 MR0 (310) |- STATUS: db: not modified; conf: in sync; cond: OK; dm: autoupdated; conn: up |- vdom:[3]root flags:0 adom:ADOM-schaltyv pkg:[unknown]schaltyv-sg0e0 ---End device list---
Wenn nun die Konfig des Devices "FGT60C3G12013754" eingespielt werden soll muss dies anhand der OID -in diesem Fall- "1188" durchgeführt werden:
Importieren (retrieve) der Device Konfiguration anhand der entsprechenden Device OID" # diagnose test deploymanager reloadconf 1188 Retriving configuration file from FGT... Configuration file import succeeded. Reloading configuration file... Configuration reload succeeded.
Dieses "retrievel" wird im Gegensatz zur Web Mgmt. Methode nicht als Revision angezeigt.
Kann ich die Firmware einer FortiGate über den FortiManager auf den neusten Stand bringen?
Ein Upgrade der Firmware einer FortiGate über den FortiManager ist möglich jedoch unter den allgemeinen Berücksichtigungen die auch für ein manuelles Update gilt die da wären:
- Ueber welche Firmware verfügt die FortiGate heute? - Was ist der Upgrade Path um auf die gewünschte Firmware zu kommen?: Fortigate:FAQ#Wo_findet_ich_die_Dokumente_wie_Datasheets.2C_Quick_Start_Guide.2C_User_Guide_etc._.3F - Werden die Funktionen der alten Firmeware durch die neue Firmware vollumfänglich unterstützt?: Fortigate:FAQ#Welche_Ger.C3.A4te.2FDevices_werden_vom_neuen_FortiOS_5_unterst.C3.BCtzt_und_welche_neuen_Features_umfasst_FortiOS_5.3F Fortigate:FAQ#Was_ist_bei_einem_Upgrade_auf_FortiOS_5_zu_ber.C3.BCcksichtigen_betreffend_bestehender_Konfiguration.3F - Was ist betreffend der neuen Firmware zu berücksichtigen (Release Notes)? - Wie kann ich ein bevorstehendes "bulk" Update testen?
Wenn alle Vorbereitungen durchgeführt wurden dh. inkl. bei einem "bulk" Update das Testen kann ein Firmeware Upgrade folgendermassen durchgeführt werden (Nachfolgendes Beispiel zeigt ein Cluster Update):
Wähle im FortiManager folgendes: FortiGuard > Firmware Images Unter "Prefered Version" wähle die entsprechende zur Verfügung stehende Firmware (Change to Version). Danach wähle in der letzten Spalte "Download". Nun wird die "Firmeware" von FortiGuard runtergeladen auf den FortiManager. Nach einiger Zeit steht die Firmware inkl. den "Release Notes" zur Verfügung. Nun gehe auf den Device Manager: Device Manager > [Wähle die entsprechende ADOM] > All FortiGates > Rechte Maustaste > Firmeware Update Dort steht nun die vorgängig runtergeladene Firmware zur Verfügung:Wähle nun "Upgrade Now" oder einen "Schedule Upgrade"! Nun wird der Upgrade durchgeführt auf dem Slave. Danach -sofern der Upgrade vollzogen werden konnte- wird ein Failover initiert und das Upgrade auf dem orginal Master durchgeführt: 'NOTE Es ist zu empfehlen über die "Serielle Konsole" das Upgrade mitzuverfolgen! ---------- output seriell console Slave ---------- waiting for 2 seconds ... waiting for 2 seconds ... waiting for 2 seconds ... Get image from ha master OK. Check image OK. Please wait for system to restart. waiting for 2 seconds ... Firmware upgrade in progress ... Done. The system is going down NOW !! Please stand by while rebooting the system. Restarting system. FortiGate-300C (13:30-08.13.2012) Ver:04000022 Serial number:FG300C3913602452 RAM activation CPU(00:00010661 afebfbff): Do MP initialization Total RAM: 2048MB Enabling cache...Done. Scanning PCI bus...Done. Allocating PCI resources...Done. Enabling PCI resources...Done. Zeroing IRQ settings...Done. Verifying PIRQ tables...Done. Boot up, boot device capacity: 30533MB. Press any key to display configuration menu... ...... Reading boot image 1625822 bytes. Initializing firewall... System is starting... SLAVE login: ---------- output seriell console Slave ---------- Nach erfolgreichen Update auf dem Slave wird sogleich der "Master" durchgeführt: ---------- output seriell console Master ---------- Firmware upgrade in progress ... Done. The system is going down NOW !! Please stand by while rebooting the system. Restarting system. FortiGate-300C (13:30-08.13.2012) Ver:04000022 Serial number:FG300C3913601712 RAM activation CPU(00:00010661 afebfbff): Do MP initialization Total RAM: 2048MB Enabling cache...Done. Scanning PCI bus...Done. Allocating PCI resources...Done. Enabling PCI resources...Done. Zeroing IRQ settings...Done. Verifying PIRQ tables...Done. Boot up, boot device capacity: 30533MB. Press any key to display configuration menu... ...... Reading boot image 1625822 bytes. Initializing firewall... System is starting... MASTER login: ---------- output seriell console Master ---------- Nachdem Upgrade kann unter folgender Position die History betreffend Firmware Upgrade eingesehen werden: Device Manager > [Wähle die entsprechende ADOM] > All FortiGates > Rechte Maustaste > Firmeware Update
![]()
Kann ich einen FortiAnalyzer als Device in den FortiManager unter Device Manager hinzufügen?
Ab Version 5.0.6 ist dies Möglich. Der FortiAnalyzer kann unter folgender Position als Device hinzugefügt werden:
Wähle im FortiManager Gui folgendes: Device Manager > [Wähle die "root" ADOM] > Rechte Maustaste > Add Device Danach erscheint der Dialog indem folgendes eingegeben werden muss:
Datei:Fortinet-478.jpg NOTE Die IP 192.168.140.60 stellt in diesem Beispiel die IP des FortiAnalyzers dar. Als Username und Passwort muss ein Administrator mit SuperUser Rechten angegeben werden der ebenfalls auf dem FortiAnalyzer existiert!
Um den FortiAnlyzer korrekt einzubinden muss der FortiAnalyzer über UDP-541 erreichbar sein. Nachdem der FortiAnalyzer eingebunden ist wird dieser in eine seperate ADOM (mit dem Namen FortiAnalyzer) zur Verfügung gestellt. Der FortiAnalyzer kann nicht über den FortiManager konfiguriert werden. Der Grund wieso die Einbindung des FortiAnalyzer ermöglicht wurde ist, dass dieser nun unter den "Provisioning Templates" für die "System Templates" und dem entsprechenden Profile und unter dem Widget "Log Settings" zur Verfügung steht.
NOTE Wenn der FortiAnylzer als Device zum FortiManager hinzugefügt wird gilt Lizenztechnisch gesehen dieser als Device dh. eine Device Lizenz wird benötigt um den FortiAnalyzer einzubinden!
Policy
Was sind Policy und wie sind diese im Zusammenhang mit ADOMs und Devices zu verstehen?
In einer einzelnen ADOM können entsprechende Administratoren mit den entsprechenden Rechten mehrer Policy Package's erstellen. Mit FortiManager ist es möglich Policy Packages pro Device dh. FortiGate sowie VDOMs zu erstellen und dies für eine spezifizierte ADOM. Ebenfalls können existierende Policy Package kopiert und nachträglich wiederum modifiziert werden. Je nach Anwendungszeck kann so die Arbeit und die Einbindung neuer FortiGate Devices vereinfacht werden. Dabei wird Grundsätzlich zwischen folgenden Layer unterschieden:
--> Global ADOM Layer (Global Policy Packages, Global Object Database) --> ADOM Layer (Policy Packages, Object Database)
Nachfolgende Abbildung illustrieren diese zwei Layer:
Datei:Fortinet-516.jpg
Global Policies und Objects Global Policies und Objects funktioneren ähnlich wie eine lokale Policy und Objects. Der Unterschied liegt darin, dass solche Policies Universal jeglicher ADOM und/oder VDOM zugeordnet werden kann. Global Policies werden dann benutzt wenn Policies ALLEN Devicen in Art und Weise zugeordnet werden soll. In Komplexen Umgebungen hilft dies die Komplexität so gerin wie möglich zu halten. Ein Anwendungsbeispiele wäre zB folgendes: Wenn aus einer Zentralen Management Umgebung die FortiGates verwaltet werden und zB SSH Zugriff auf alle FortiGate Devices aus diesen zentralen Umgebung gewährleistet werden soll, kann nun EINE Policy erstellt werden und allen ADOM zugewiesen werden. Dies ermöglicht EINE Poliy zu erfassen/erstellen für ALLE Devices in den ADOMs anstelle diese Policy auf ALLEN Devices seperat zu erstellen.
Wie erstelle ich ein neues Policy Package (Local Domain Policy)?
NOTE Ab FortiOS 5.0.2 wurde das Gui durch folgende Positionen erweitert:![]()
Unter "Display Options" stehen folgende Optionen zur Verfügung die je nach Bedarf aktiviert werden können:
Die gewünschten "Display Optionen" stehen danach innerhalb der betreffenden ADOM zur Verfügung:
![]()
Als erstes muss in der Toolbar die entsprechende ADOM gewählt werden. In unserem Beispiel wäre das die ADOM "local":
Nun gibt es zwei Möglichkeiten dh. man erstellt eine neue "local" Policy direkt unter der entsprechenden ADOM zB "local" oder man erstellt aus organisatorischen Gründen zuerst einen seperaten "Policy Folder" unter der dann die neue "local" Policy erstellt wird. Um einen neuen Folder zu erstellen wähle unter der entsprechenden ADOM folgendes:![]()
Nachdem erstellen des seperaten "Policy Folder" ist dieser unter der entsprechenden ADOM ersichtlich:![]()
Um nun eine neue Policy unter dem "Policy Folder" zu erstellen wähle folgendes:![]()
Nun kann direkt eine entsprechende Gruppe aus dem "Device Manager" gewählt werden oder einen entsprechenden Device. Dies kann nachträglich geändert werden. Für weitere Infos siehe Artikel: FortiManager:FAQ#Wie_weise_ich_ein_entsprechendes_Policy_Package_.28Local_Domain_Policy.29_einer_Device_Gruppe_und.2Foder_Device_zu.3F: NOTE Weitere Informationen zur Erstellung einer Device Gruppe siehe Artikel: FortiManager:FAQ#Wie_erstelle_ich_eine_Device_Gruppe_und_wie_verwende_ich_diese.3F Datei:Fortinet-521.jpg NOTE Anhand der Position "Clone Policy Package" kann eine bestehende "Policy" herangezogen werden um diese als neue Policy zu kopieren!
Wenn kein "Policy Folder" erstellt wird kann die Policy auch direkt in der ADOM erstellt werden:![]()
Auch hier kann nun eine entsprechende Gruppe aus dem "Device Manager" gewählt werden oder einen entsprechenden Device. Dies kann nachträglich geändert werden. Für weitere Infos siehe Artikel: FortiManager:FAQ#Wie_weise_ich_ein_entsprechendes_Policy_Package_.28Local_Domain_Policy.29_einer_Device_Gruppe_und.2Foder_Device_zu.3F: Datei:Fortinet-523.jpg
Wie füge ich eine Rule hinzu zu einer Policy (Local Domain Policy)?
Um eine Rule zu einer (Local Domain Policy) hinzuzufügen gehe folgendermassen vor:
Policy & Objects > [Wähle die entsprechende ADOM] > [Wähle die entsprechende Policy] > Rechte Maustase auf der Rechten Seite Datei:Fortinet-554.jpg
Nun kann wie gewohnt eine Rule definiert werden: Datei:Fortinet-555.jpg NOTE Unter Advaned Options stehen verschiedenen Einstellungen zur Verfügung die Konfiguriert werden können: Datei:Fortinet-556.jpg Datei:Fortinet-557.jpg
ACHTUNG Wenn eine "Global Policy" korrekt Assigned wurde siehe Artikel: FortiManager:FAQ#Wie_weise_ich_ein_entsprechende_Global_Policy_einer_ADOM_zu.3F) so wird -sofern eine Rule in der "Global Policy" (für Header oder Footer) existiert diese in der entsprechenden ADOM angezeigt. Diese Abschnitte "Header" und "Footer" sind nicht aus der entsprechenden ADOM modifizierbar dh. Modifikationen können nur über den Administrator durchgeführt werden der auf die "Global Policy" Zugriff hat:![]()
Wie erstelle ich eine neue Global Policy (Global Domain Policy)?
Betreffend Informationen was eine Global Policy ist siehe Artikel FortiManager:FAQ#Was_sind_Policy_und_wie_sind_diese_im_Zusammenhang_mit_ADOMs_und_Devices_zu_verstehen.3F! Um eine Global Policy zu erstellen wähle zuerst in der Toolbar die entsprechende Position "Global":
Nun gibt es zwei Möglichkeiten dh. man erstellt eine neue Global Policy direkt unter "Global" oder man erstellt aus organisatorischen Gründen zuerst einen seperaten "Folder" unter der dann die neue Global Policy erstellt wird. Um einen neuen Folder zu erstellen wähle unter der entsprechenden ADOM folgendes:![]()
Nachdem erstellen des seperaten "Folder's" (local-global-policy) ist dieser unter "Global" ersichtlich:![]()
Um nun eine neue Policy unter dem "Folder" zu erstellen wähle folgendes:![]()
Vergebe nun einen entsprechenden Namen für die neue Global Policy: Datei:Fortinet-530.jpg NOTE Anhand der Position "Clone Policy Package" kann eine bestehende "Global Policy" herangezogen werden um diese als neue Policy zu kopieren!
Wenn kein "Folder" erstellt wird kann die Global Policy auch direkt unter Global erstellt werden:![]()
Datei:Fortinet-532.jpg NOTE Anhand der Position "Clone Policy Package" kann eine bestehende "Global Policy" herangezogen werden um diese als neue Policy zu kopieren!
Wie füge ich eine Rule hinzu zu einer Global Policy (Global Domain Policy)?
Um eine Rule zu einer Global Policy hinzuzufügen führe folgendes durch:
NOTE Wie eine Global Policy erstellt wird siehe Artikel: FortiManager:FAQ#Wie_erstelle_ich_eine_neue_Global_Policy_.28Global_Domain_Policy.29.3F
Wähle unter "Global" die entsprechende Global Policy unter der eine Rule eingefügt werden soll sowie wähle "welche Art" der Rule eingefügt werden soll: Datei:Fortinet-540.jpg Nun eine Global Policy wird unterteil in drei Sektionen: --> Header Policy --> Local Domain Policy --> Footer Policy In einer Global Policy können Rules für die "Header" sowie "Footer" Policy eingefügt werden. Der Local Domain Policy Abschnitt ist für die "Local" Policy dh. ist über die Global Policy nicht modifizierbar! Weitere Informationen betreffend "Local Domain Policy" siehe Artikel: FortiManager:FAQ#Wie_erstelle_ich_ein_neues_Policy_Package_.28Local_Domain_Policy.29.3F Eine "Header" Policy wird immer VOR der "Local Domain Policy" ausgeführt und eine "Footer" Policy NACH der "Local Domain Policy". Wenn unter "New" eine solche Policy erstellt wird erscheint eine neues Fenster indem die entsprechende Rule definiert werden kann
Datei:Fortinet-541.jpg
Unter "Advanced Options" können verschiedenen Optionen gesetzt werden: Datei:Fortinet-542.jpg Datei:Fortinet-543.jpg
Wie weise ich ein entsprechendes Policy Package (Local Domain Policy) einer Device Gruppe und/oder Device zu?
Wenn eine Policy existiert und die Devices sowie event. existierende Device Gruppen neu hinzugefügt oder gelöscht werden sollen kann dies über das entsprechende Policy Package in der entsprechenden ADOM durchgeführt werden:
Nun kann die entsprechende Aenderung durchgeführt werden.: Datei:Fortinet-525.jpg
Wie weise ich ein entsprechende Global Policy einer ADOM zu?
Eine Global Policy kann nur einer ADOM zugewiesen werden (assign). Um eine Global Policy einer ADOM zu zuweisen wähle die entsprechende Global Policy und den Register "Assignement". Danach führe folgendes durch:
NOTE Weitere Informationen betreffend ADOM siehe Artikel: FortiManager:FAQ#Was_sind_ADOM.27s_und_welche_Ueberlegung_sind_in_diesem_Zusammenhang_zu_ber.C3.BCcksichtigen.3F
Datei:Fortinet-533.jpg
Nun wähle die entsprechende ADOM oder ADOMs: Datei:Fortinet-534.jpg
Die entsprechende ADOM wurde zwar nun zugewiesen jedoch noch nicht durchgeführt dh. für die Durchführung muss die entsprechende Zeile markiert werden und danach "Assigne Selected" ausgeführt werden oder an der ende der Zeile "assign" gewählt werden: Datei:Fortinet-535.jpg
Nun wird die Global Policy der ADOM als Policy hinzugefügt: Datei:Fortinet-536.jpg
Nach der Ausführung wird als Bestätigung auf der entsprechenden Zeile ein "Up To Date" angezeigt: Datei:Fortinet-537.jpg
Um die Global Policy wieder von einer ADOM zu entfernen wähle auf der entsprechenden Zeile "unassign": Datei:Fortinet-538.jpg
Nun geht der Status wieder auf "Pending changes...": Datei:Fortinet-539.jpg
Was ist ein "policy consistency check" und wann soll so ein Check durchgeführt werden?
Der "policy consistency check" prüft innerhalb einer ADOM sämtliche Policy Packag nach deren Konsistenz. Der Check kann Konflikte innerhalb dieser Package erkennen und eliminieren um Fehlkonfigurationen zu verhindern. Dies erlaubt die Policies in der Grösse und Art zu optimieren was wiederum Auswirkungen auf die Datenbank hat sprich deren Grösse! Ein "policy consistency check" führt folgendes aus:
• Object Duplication: Zwei Objekte verfügen über eine identische Definition • Object Shadowing: Ein höher priorisiertes Objekt beinhaltet bereits eine Definiton eines anderen Objekts desselben Typs • Object Overlap: Ein Objekt überschneidet teilweise mit dessen Definition ein anderes Objekt des gleichen Typs • Object Orphaning: Ein definiertes existierendes Objekt das nicht in Gebrauch ist
Der "policy consistency check" benützt einen Algorithmus um Policy Objekt zu evaluieren. Dies wird anhand folgender Atribute durchgeführt:
• Source und Destination Interface Policy Objekte • Source und Destination Adress Policy Objekte • Service und Schedule Policy Objekte
Nach Aenderungen empfiehlt es sich so einen "policy consistency check" auszuführen. Dieser wird folgendermassen im WebGui ausgeführt:
Poliy & Objects > [Wähle die entsprechende ADOM] > Rechter Mausklick Datei:Fortinet-544.jpg NOTE Wo der "Policy Check" ausgeführt wird resp. auf welchen Folder etc. ist relevant denn es wird nur die Policy überprüft auf der ein "Policy Check" durchgeführt wird. In unserem Beispiel wird auf der Policy "local-group" unter dem Folder "local-policy" eine Ueberprüfung durchgeführt!
Datei:Fortinet-545.jpg NOTE Bei Problemen ist die History relevant dh. wenn diese eingesehen werden möchte kann der Menüpunkt "View Last Policy Consistency Check Result" eingesehen werden. Dies kann Aufschluss geben ob ein Problem schon früher bestanden hat! Datei:Fortinet-548.jpg
Datei:Fortinet-546.jpg NOTE Unter "Details" sowie "History" können die Details eingesehen werden. Hier sieht man auch auf WELCHER Policy der Check durchgeführt wurde dh. in unserem Beispiel wird angezeigt: Datei:Fortinet-547.jpg
Kann ich eine Rule von einem Policy Package zu einem andere Policy Package kopieren?
Ja dies ist ab der Version 5.0.3 möglich. Benütze auf der entsprechenden Rule die rechte Maustaste und wähle "copy". Danach wähle ein anderes Policy Package und gehe an die entsprechende Position auf der die kopierte Rule eingefügt werden soll. Danach wähle "paste" mit den Zusätzen "above" oder "below".
Gibt es für Policy Package in der ADOM eine Backup Möglichkeit (Revisions)?
Wenn in einer ADOM unter "Policy & Objects" Modifikationen durchgeführt werden und nachträglich die Policy installiert wird kann man die Installation durch eine "Revision" sichern dh. die bestehende "momentante" Konfiguration/Installation der ADOM betreffend Policy wird gesichert als "Revision".
Sobald die Installation durchgelaufen ist kann die Revision resp. die Revisions über folgende Position eingesehen werden:
Es kann ebenfalls eine Revision "manuall und explizit" angelegt werden:
NOTE Jede Revision unterliegt einer "Auto Delete" Funktion. Diese kann mit einem "Lock" versehen werden dh. diese wird "ausgenommen" von der "Auto Delete" Funktion oder wird explizit Konfiguriert sprich zB "Delete revisions older than xy Days".
NOTE Möchte man die "Auto Delete" Funktion für jede Revision neu setzen kann dies folgendermassen durchgeführt werden:
![]()
Ebenso lassen sich natürlich Revisions wieder zurückspielen als Restore:
NOTE Wenn eine Global Policy assigned ist zur ADOM wird eine "Warnung" ausgegeben:
![]()
Nachdem "Restore" der Revision muss das Policy Package neu zum Device installiert werden!
Objects
Was ist der Unterschied zwischen "Global Objects" und "ADOM Objects"?
Objects werden in Datenbanken organisiert. Objects unter "Global" sowie "ADOM" sind in seperaten Datenbank organisiert dh. wenn ein Object in einer "ADOM" Datenbank erfasst wird steht dieses Object nur in dieser "ADOM" Datenbank zur Verfügung und kann mit anderen ADOMs nicht geshared werden. Das Gleiche gilt für "Global Objects" sofern es sich nicht um ein "Dynamic" Global Object handelt. Um Objects in verschiedenen ADOMs zu verwenden muss ein "Dynamic" Global Object erfasst werden denn nur so können diese "Dynamic" Objects zwischen den ADOMs geshared werden.
Wenn Objects in Policies benutzt werden und das Object selber wird nachträglich modifiziert wird die Aenderung für die Policy "sofort" abgebildet und zwar in jeglicher Policy inder dieses Object benutzt wird.
NOTE Einige Menüposition werden per Standard unter den Objects nicht angezeigt! Um die nicht angezeigten Menüpositionen einzublenden siehe Artikel: FortiManager:FAQ#Wie_erstelle_ich_ein_neues_Policy_Package_.28Local_Domain_Policy.29.3F
Wie erfasse ich ein "Global Object" und wie benutze ich dieses?
Nun ein "Global Object" wird unter folgender Position erfasst:
Policy & Objects > Objects Datei:Fortinet-549.jpg
In unserem Beispiel erfassen wir ein normales Object für einen Subnet Range der unsere LAN darstellt dh. 192.168.140.0/24: Datei:Fortinet-550.jpg
Nach der Erfassung ist dieses "Global Object" unter "Adresses" ersichtlich und wurde in der "Global Object" Database abgelegt: Datei:Fortinet-551.jpg
Um diese "Global Object" in einer "Global Policy" zu verwenden wählt man im oberen Bereich die entsprechende "Global Policy" an und im unteren Bereich kann nur das entsprechende "Global Object" per "Drag & Drop" (Neu in FortiManager 5.0) hinzugefügt werden. Wenn nun eine Rule (New Rule) zB in den Header eingefügt wird (siehe Artikel FortiManager:FAQ#Wie_f.C3.BCge_ich_eine_Rule_hinzu_zu_einer_Global_Policy_.28Global_Domain_Policy.29.3F) kann die Source anhand unserer neu erfassten "Adresse" (Local-LAN) modifiziert werden:
Datei:Fortinet-552.jpg
Nachträglich ergiebt sich folgendes Bild: Datei:Fortinet-553.jpg
Wenn nun die entsprechende "Global Policy" einer entsprechenden ADOM zugewiesen wurde erhalten alle Policies in dieser ADOM diese "Global Policy". Betreffend wie man eine "Global Policy" einer ADOM zuweist siehe Artikel:
FortiManager:FAQ#Wie_weise_ich_ein_entsprechende_Global_Policy_einer_ADOM_zu.3F
Wie erfasse ich ein "Dynamic" Global Object und wie benutze ich dieses?
Nun ein "Dynamic" Object ist ein Object das unter "Global" und/oder "ADOM" erfasst wird und Device zugewiesen wird sowie mit der eigenen Adresse des Devices versehen wird (Mapping). Ein "Dynamic" Object kann ebenfalls als "Dynamischer Platzhalter" für Informationen angesehen werden. Wenn zB in einer Umgebung mit mehreren FortiGate's existiert, haben diese FortiGate's alle ein "Internal-LAN". Wenn nun in der "Global Policy" (im Header) eine Rule definiert wird die es erlaubt vom "Internal-LAN" auf das Internt zuzugreifen kann dies zwar für jede FortiGate Policy benutzt werden jedoch von FortiGate zu FortiGate ändert sich der Subnet Bereich des "Internal-LAN". Genau hier kann ein "Dynamic" Object eingesetzt werden indem für jede FortiGate das gleiche "Dynamic" Object benutzt wird jedoch mit vers. Informationen resp. IP Subnet Definitionen. Nachfolgend gemäss den hier beschriebenen ein Beispiel solch einer Konfiguration:
NOTE Die Erstellung eines "Dynamic" Object's für eine ADOM wird genau gleich durchgeführt und beinhaltet dieselbe Logik. Es ist jedoch zu empfehlen diese Objekte wie die der "Global Polcy" speziell zu kennzeichnen (d = Dynamic)
Als Erstes erstellen wir unter "Global" das entsprechende "Dynamic" Object: Datei:Fortinet-560.jpg
Nenne das Object "gInternal-LAN" (g = Global). Wichtig dabei ist das man das System der Namensnennung durchzieht um den Ueberblick zu behalten. Zusätzlich kann noch mit den Farben gearbeitet werden. Als IP gibt man eine Fake IP ein jedoch nicht 0.0.0.0/0.0.0.0 da diese IP für "all" steht: Datei:Fortinet-561.jpg
Datei:Fortinet-562.jpg
Als nächstes erstellen wir eine Rule in der "Global Policy" im "Header" Bereich die das "Dynamic" Object beinhaltet: Datei:Fortinet-563.jpg
Datei:Fortinet-564.jpg
Datei:Fortinet-565.jpg
Als nächsten Schritt vergewissere Dich das diese "Global Policy" der richtigen ADOM zugewiesen worden ist und schreibe die Aenderungen in die entsprechende ADOM (in unserem Beispiel "local"): Datei:Fortinet-566.jpg
Datei:Fortinet-567.jpg
Datei:Fortinet-568.jpg
Nun kontrolliere ob die Aenderungen in der entsprechenden ADOM (in unserem Beispiel "local") ersichtlich sind: Datei:Fortinet-569.jpg NOTE Achte auf die Adresse die angezeigt wird im "Header" der "Global Policy" (1.1.1.1/255.255.255.255)
Nun "Mappe" das Dynamische Objekt zum entsprechenden Device. Wähle dazu im "Device Manager" den entsprechenden Device unter der entsprechenden Gruppe. Danach wähle "Dynamic Objects" und erstelle das "Mapping": Datei:Fortinet-570.jpg
Datei:Fortinet-571.jpg
Datei:Fortinet-572.jpg NOTE Gebe nun unter "Dynamic Adress" das "Global Object" an das wir erstellt haben "gInternal-LAN"! Nun kann unter IP Range/Subnet der IP Range angegeben werden der benutzt wird durch den Device im Internal LAN Bereich!
Wenn man nun zurück unter "Policy & Objects" unter der entsprechenden ADOM sowie Policy das Ganze ansieht erkennt man, dass nun das "Global Object" nicht mehr als dieses angezeigt wird dh. mit 1.1.1.1/255.255.255.255 sonderm als "Dynamic Object": Datei:Fortinet-573.jpg
Wenn man im unteren Bereich unter "Objects > Firewall Objects > Address" folgendes ausführt sieht man das "Mapping" ebenfalls: Datei:Fortinet-574.jpg
Datei:Fortinet-575.jpg
Es kann ebenfalls nach der Verwendung des Objects gesucht werden: Datei:Fortinet-576.jpg
Datei:Fortinet-577.jpg
User
Wo kann ich das Passwort des SuperAdmin (admin) ändern?
Per Standard existiert auf dem FortiManager ein SuperAdmin mit dem Username "admin". Diesem SuperAdmin wurde per Standard KEIN Passwort gesetzt. Wenn dieses neu gesetzt sowie modifiziert werden möchte kann dies unter folgender Position durchgeführt werden:
System Settings > General > Dashboard > System Information > Current Administrators Datei:Fortinet-581.jpg
Das Passwort kann ebenfalls für den SuperAdmin und für alle anderen Administratoren unter folgender Position modifiziert/konfiguriert werden:
System Settings > Admin > Administrators Datei:Fortinet-582.jpg
Wenn das SuperAdmin Passwort nicht mehr bekannt ist wo kann ich dieses zurücksetzen/neu setzen?
Als Grundvorraussetzung muss die Serien Nummer des FortiManages bekannt sein denn diese wird benötigt um sich als User maintainer einzuloggen:
-> Erstelle eine Serielle Console. -> Schalte den Device aus und ein oder starte diesen neu. -> Sobald der Login erscheint gebe ein:
User = maintainer Password = bcpbFMG-[Serien Nummer] Welcome! # config system admin user # edit admin # set password [Neues Passwort] # end
Wo kann ich das Timeout des Administrators konfigurieren?
Das Timeout des Administrators (Idle) ist Global konfigurierbar dh. es kann nur für alle Administratoren gesetzt werden und nicht auf den einzelnen Administrator. Dieses Timeout kann unter folgender Position im WebGui gesetzt werden:
System Settings > Admin > Admin Settings > Idle Timeout![]()
Wo sehe ich welche Administratoren momentan im FortiManager eingeloggt sind?
Unter folgender Position bekommt man eine Uebersicht der Administratoren die momentan im FortiManager eingeloggt sind:
System Settings > General > Dashboard > System Information > Current Administrators Datei:Fortinet-583.jpg
Datei:Fortinet-584.jpg NOTE Wenn ein "Administrator" markiert wird kann man die entsprechende Session des Administrators beenden. (kick off). Dabei wird die Session des Administrators sofort beendet. Alle ungesicherten Konfigurationen des Administrators dessen Session beendet wird gehen verloren!
Backup/Restore
Wie führe ich auf einem FortiManager für eine FortiGate einen "revert" durch?
Der FortiManager unterstützt in Details die Funktion Revision History. Wenn ein sogenannter "revert" (Revision History Restore) kommt muss folgendes berücksichtigt werden:
Der "revert" selber wird nicht direkt auf dem Device installiert sondern in die Device Level Database. Auch von der "Device Level Database" kann der "revert" nicht direkt auf den Device installiert werden. Zuerst muss der "revert" der sich in der "Device Level Database" befindet in die entsprechende ADOM als Policy importiert werden. Nun wird der "revert" in der ADOM sowie in der "Device Level Database" gleichermassen wiederspiegelt und kann anhand der Funktion "Install Policy Package & Device Settings" aus der ADOM auf den FortiGate Device installiert werden! Diesem Umstand ist Rechnung zu tragen um einen erfolgreichen "revert" durchzuführen!![]()
Nachfolgend die einzelnen Schritte wie ein "revert" durchgeführt wird:
1. Wähle die "Revision History" um den "revert" zu bestimmen und zu wählen: Device Manager > [Wähle die entsprechende ADOM] > [Wähle den entsprechende Device] > Dashboard > Configuration and Installation Status > Revision History 2. In der Auflistung wähle den entsprechenden Eintrag der als "revert" Punkt bestimmt wird (revert Icon Rechts am ende der Zeile) 3. Sobald der entsprechende Eintrag gewählt wurde wird die Information in die "Device Level Database" geschrieben. Die entsprechende Zeile wird in der "Revision History" als "reverted" angezeigt! NOTE Wenn jetzt ein "Install" durchgeführt würde Reflektiert die momentane Policy nicht den "revert" Stand sondern nur die "Global Level Parameter"! 4. Nun importieren wir die Policy die den "revert" Reflektiert und momentan in der "Device Level Database" in die entsprechende ADOM zum dazugehörigen Device. Wähle dazu: Device Manager > Device & Groups > [Wähle die entsprechende ADOM] > [Wähle die entsprechende FortiGate] > Rechte Maustaste > Import Policy 5. Nach dem erfolgreichen Import wird unter "Policy & Objects" unter der entsprechenden ADOM ein neues Policy Package angezeigt das nun den "revert" Reflektiert! 6. Nun kann das Policy Package auf dem FortiGate Device installiert werden dh. wähle dazu: Device Manager > Device & Groups > [Wähle die entsprechende ADOM] > [Wähle die entsprechende Device Gruppe oder FortiGate] > Rechte Maustaste > Install --> Wähle "Install Policy Package & Device Settings" 7. Kontrolliere ob der "revert" erfolgreich durchgeführt wurde indem auf dem FortiGate Device ein kurze Kontrolle stattfindet!
Gibt es für Policy Package eine Backup Möglichkeit sowie eine Revision Control?
Diese Möglichkeit gibt es dh. für nähere Informationen siehe folgender Artikel:
FortiManager:FAQ#Gibt_es_f.C3.BCr_Policy_Package_in_der_ADOM_eine_Backup_M.C3.B6glichkeit_.28Revisions.29.3F
Wo und wie kann ich ein Backup des FortiManagers durchführen?
Ein Backup des FortiManagers kann über folgende Position im WebGui durchgeführt werden:
System Settings > General > Dashboard > System Information > System Configuration Datei:Fortinet-585.jpg NOTE Anhand des Menüpunkts "System Checkpoint" kann eine "Revision" betreffend Konfiguration des FortiManaers erstellt werden. Wenn dieser Punkt ausgeführt wird kann eine kurze Beschreibung der "Revision" eingegeben werden und der "System Checkpoint" wird danach erstellt. Je nach Grösse der Installation (Anzahl FGT Device) kann so ein "System Checkpoint" einige Minuten in Anspruch nehmen. Wenn die "Revision" wiederhergestellt werden soll kann diese unter "System Checkpoint" angewählt werden und anhand der Position "Revert" wiederhergestellt werden!
Datei:Fortinet-586.jpg NOTE Das Backup kann anhand einer Verschlüsselung (Passwort) geschützt werden. Geht das Passwort verloren gibt es keine Möglichkeit mehr das entsprechende Backup wieder herzustellen! Das Backup wird anhand eines .dat Files abgelegt! Das Backup über das Web Mgmt. Interface enthält nicht alle Informationen wie zB Logs und Report sowie deren Konfiguration. Weitere Informationen siehe nachfolgenden Artikel: FortiAnalyzer:FAQ#Wie_kann_ich_.C3.BCber_CLI_eine_Backup_der_FortiAnalyzer_Konfiguration_durchf.C3.BChren.3F
Wie kann ich über CLI eine Backup der FortiManager Konfiguration durchführen?
Grundsätzlich kann über WebInterface ein Backup durchgeführt werden dh.:
System Settings > General > Dashboard > System Information > System Configuration
Möchte man jedoch über CLI ein Backup durchführen kann dies über folgende Protokolle durchgeführt werden:
FTP / SFTP SCP
Folgende Kommandos müssen benutzt werden:
# execute backup all-settings [FTP oder SFTP] [Server IP Adresse] [Pfad sowie Filename zB backup/full-backup] [User Name] [Passwort] Starting backup all settings in background, Please wait. Starting transfer the backup file to FTP server... Backup all settings...Ok. oder # execute backup all-settings scp [Server IP Adresse] [Pfad sowie Filename zB backup/full-backup] [User Name] [SSH Zertifikat] [Cryptpasswort]
Wenn eine VMware Installation benützt wird dh. eine Virtualisierung eines FortiManager ist die Snapshot Variante die bevorzugte resp. empfohlen Variante um ein Backup durchzuführen. Desweiteren ist zu berücksichtigen das durch das Kommando "execute backup all-settings" nur die folgenden Informationen gesichert werden:
Wenn ein Backup durch einen Administrator für eine spezifizierte VDOM durchgeführt wird so enthält das Backup folgende Informationen: "Global Settings, Settings für spezifizierte VDOM"
Wenn ein Backup durch den "regulären" Administrator durchgeführt wird so enthält das Backup folgende Informationen: "Global Settings, Settings für alle VDOM"
Ebenfalls sind Logs sowie Reports und Report Konfigurationen nicht im "execute backup all-settings" enthalten. Weitere Informationen wie diese Informationen gesichert werden siehe nachfolgenden Artikel:
FortiAnalyzer:FAQ#Wie_kann_ich_.C3.BCber_CLI_eine_Backup_der_FortiAnalyzer_Konfiguration_durchf.C3.BChren.3F
Kann ich ein Backup für einen FortiManager automatisieren?
Ja, dies ist ab Version 5.0.5 möglich und steht über die Kommandozeile zur Verfügung:
# config system backup all-settings # set status [enable | disable] # set server [IPv4 Adresse des Servers oder FQDN] # set user [Username] # set passwd [Password] # set directory [Name des Verzeichnis auf Zielserver in Form "/[Name des Verzeichnis] # set week_days [Wochentag für die Ausführung "monday tuesday wednesday thursday friday saturday sunday"] # set time [hh:mm:ss] # set protocol [Protokoll Angabe "ftp | scp | sftp"] # set cert [SSH Zertifikat String für "scp"] # set crptpasswd [Optionales Passwort] # end NOTE Berücksichtige das in diesem Backup "all-settings" nicht alle Informationen eines FortiManagers enthalten sind dh. es werden keine Logs sowie Reports und deren Konfigurationen berücksichtigt. Weitere Informationen dazu siehe nachfolgender Artikel: FortiAnalyzer:FAQ#Wie_kann_ich_.C3.BCber_CLI_eine_Backup_der_FortiAnalyzer_Konfiguration_durchf.C3.BChren.3F
Wie tausche ich bei einem Defekt einer FortiGate diese im FortiManager aus?
Ausgehend davon, dass eine FortiGate im FortiManager ordnungsgemäss im Konfigurationsmodus eingebunden ist, stellt sich die Frage "Was ist zu tun" wenn eine FortiGate anlässlich eines Defekts ausgetauscht werden muss. Wenn eine FortiGate im FortiManager eingebunden wird so geschieht dies anhand Ihrer Serien Nummer. Dieses Serien Nummer ist Basis um den FortiGate Device eindeutig zu identifizieren. Unter Version 4.3 war diese Registrierungs "Optional" dh. die Registration einer FortiGate wurde nur anhand der Serien Nummer durchgeführt wenn diese Option ebenfalls aktiviert wurde (set verify_serial_number enable | disable). Nachfolgend die Informationen wie ein "Replacement" unter Version FortiManager 4.3 vorzugehen ist:
Unter FortiManager 5 ist diese Möglichkeit der Option nicht mehr vorhanden sondern ist per Default gesetzt und kann ebenfalls nicht deaktiviert werden. Somit vereinfacht sich der Prozess eines "Replacement's". Nachfolgend die Prozedur die anzuwenden ist um ein "Replacement" durchzuführen unter FortiManager 5:
FortiGate Device Defekt [Serien Nummer] FortiGate Device Austausch [Serien Nummer] • Als Erstes muss eine RMA durchgeführt werden! Weitere Informationen siehe Artikel: Fortigate:FAQ#Wie_f.C3.BChre_ich_f.C3.BCr_ein_Fortinet_Hardware_eine_RMA_durch.3F • Sobald der Device eintrifft konfiguriere den neuen Device (RMA / Austausch Device) folgendermassen: Lade auf dem Austauschgerät die entsprechende Firmware dh. die gleiche Firmware wie auf dem defekten Device: Fortigate:FAQ#Ist_es_m.C3.B6glich_ein_Firmware_Wiederherstellung_durchzuf.C3.BChren.3F Verififziere die neue Serien Nummer: # get system status | grep Serial Konfiguriere das "externe" Interface (sofern über dieses der FortiManager Zugriff erlangt) so, dass es die alte Konfiguration (IP) des defekten Device wiederspiegelt. Bei einer statischen IP wäre dies zB: # config system interface # edit [Gebe das entsprechende Interface an zB "wan1"] # set ip [IPv4 Adresse mit Subnet zB xxx.xxx.xxx.xxx/xx] # set allowaccess [Aktiviere das Interface für FortiManager Mgmt. "fgfm"] # end NOTE Es "MUSS" https auf dem externen Interface (fgfm aktiviert) aktiviert werden. Der Grund ist dahingehend, dass sobald in den nächsten Schritten der "Mgmt. Tunnel" neu initiert wird, über https die SSL basierende Mgmt. Verschlüsselung etabliert wird. Bei der Initierung der "Mgmt. Tunnel's" wird wie gewohnt der Port TCP-541 requested und ein "syn" gesendet. Ist der Port für HTTPS auf dem externen Interface nicht aktiviert kann über den HTTPS Port intern die Verschlüsselung nicht etabliert werden! Setze sofern nötig den Default Gateway für das externe Interface: # config router static # edit 1 # set device [Gebe das entsprechende Interface an zB "wan1"] # set gateway [IPv4 Adresse mit Subnet zB xxx.xxx.xxx.xxx] # end Konfiguriere für die FortiGate das Central Management (FortiManager) mit dessen IP sowie dessen Username und Passwort: # config system central-management # set fmg [IPv4 Adresse mit Subnet zB xxx.xxx.xxx.xxx] # end # config system admin # edit [Name des Administrators der benützt wird für FortiManager Login] # set accprofile "super_admin" # set vdom "root" # set password [Passwort] # end NOTE Auf dem "defekten" Device wurde ein Administrator definiert (kann auch der Standard Administrator "admin" sein) mit dessen Passwort der dazu benützt wurde um die FortiGate auf dem FortiManager einzubinden. Diese Informationen müssen für das Austauschgerät identisch gesetzt werden um ein erfolgreiches "Replacement" durchzuführen! Ist das betreffende Passwort des "alten defekten" Devices nicht mehr bekannt kann dieses auf dem FortiManager geändert werden anhand folgenden Befehls: # execute device replace pw [Gebe den entsprechenden Namen des Device an gemäss FortiManager] This operation will clear the password of the device. Do you want to continue? (y/n)y • Nun bevor wir nun die FortiGate Online bringen muss auf dem FortiManager die alte Serien Nummer des defekten Device mit der neuen Serien Nummer des "Austauschgerätes" ersetzt werden. Mit folgenden Befehl kann die Information des "defekten" Device resp. dessen Namen sowie deren Serien Nummer eruiert werden um nachträglich diese Serien Nummer zu ersetzen: # diagnose dvm device list • Eruiere in der Device Liste den korrekten Device Namen und führe um die Serien Nummer zu ersetzen folgendes durch: # execute device replace sn [Device Name] [Neue Serien Nummer des Austauschgerätes] • Verifiziere in der Device Liste ob das "Replacement" der Serien Nummer erfolgreich war: # diagnose dvm device list • Da die alte Serien Nummer des FortiGate Devices ersetzt/ausgetauscht wurde mit der neuen Serien Nummer muss der Mgmt. Tunnel neu gestartet werden: # execute fgfm reclaim-dev-tunnel • Nun verbinde die FortiGate mit dessen konfigurierten Interface damit diese über dieses Interface den FortiManager erreichen kann. Die FortiGate nimmt mit dem von uns konfigurierten Interface sowie mit dem durch uns definierten Administrator Username und Passwort mit dem FortiManager kontakt auf. Nach einiger Zeit erscheint der Device im FortiManager "Device Manager" unter "Connectivity" als UP jedoch unter "Config Status" als "Out of Sync":![]()
Nun kann im FortiManager über "Policy & Objects" die entsprechende Policy über "install" konfiguriert werden:
Policy & Objects > [Wähle die entsprechende ADOM] > [Wähle die entsprechende Policy]![]()
HA (High Availibility)
Benötige ich für einen FortiManager Cluster seperate Lizenzen für jeden Node im Cluster?
Korrekt, jeder Node der im FortiManager Cluster Verbund Mitglied ist muss seperate voll lizensiert werden. Es werden durch Fortinet offiziell keine Cluster Konditionen gewährt (50% auf den Standby Node). Weitere Informationen betreffend Fortinet Cluster Konditionen siehe nachfolgenden Artikel:
Fortigate:FAQ#Gibt_es_f.C3.BCr_Cluster_.28Hardware_und.2Foder_Virtuell.29_Spezielle_Konditionen_bei_Fortinet.3F
Ist es möglich einen FortiManager im HA Mode aufzusetzen/zu betreiben?
Ja dies ist möglich und funktioniert folgendermassen:
NOTE In einem FortiManager Cluster Verbund sind max. 5 Devices möglich!
1. Führe ein Setup durch für eine FortiManager am Standort "A" (Hostname Beispiel FMG-01-Master / IP 192.168.1.10) 2. Führe ein Setup durch für eine FortiManager am Standort "B" (Hostname Beispiel FMG-02-SLAVE / IP 192.168.2.10) 3. Führe auf dem FMG-01-MASTER die gesamte Grundkonfiguration durch! 4. Führe auf dem FMG-01-MASTER die HA Konfiguration durch dh: System Settings > HA > Operation Mode > Master Peer IP = IP des Slave's resp. 192.168.2.10 (FMG-02-SLAVE) Peer SN = Serial Nummer des Slaves FMG-02-SLAVE (System Settings > Dashboard > System Information > Serial Number) NOTE Wenn mehrer "Slave's" im Verbund hinzugefügt werden müssen kann dies über das "+" Symbol Rechts neben der "Peer SN" durchgeführt werden! Die Konfiguration kann ebenfalls CLI durchgeführt werden: # config system ha # set mode [Definiere den Mode dh. "master" oder "slave"] # set password [Definiere das "Group" Passwort] # set clusterid [Definiere die Cluster ID] # config peer # edit 1 # set ip [Setze die IPv4 Adresse für den Peer dh. des "master" oder "slave"] # set serial-number [Gebe die Serien Nummer des FMG referenzierend auf die entsprechende IPv4 Adresse] # next # edit 2 # set ip [Setze die IPv4 Adresse für den Peer dh. des "master" oder "slave"] # set serial-number [Gebe die Serien Nummer des FMG referenzierend auf die entsprechende IPv4 Adresse] # next # edit 3 # set ip [Setze die IPv4 Adresse für den Peer dh. des "master" oder "slave"] # set serial-number [Gebe die Serien Nummer des FMG referenzierend auf die entsprechende IPv4 Adresse] # next # end Cluster ID = Vergebe eine ID zB "5" (Für jeden FMG Cluster Verbund muss sich die ID unterscheiden) Group Password = Vergebe ein "Password" für den Cluster Verbund resp. der ID (Für jeden FMG Cluster Verbund muss sich das Passwort unterscheiden) Heartbeat Interval = 5 Sekunden Failover Threshold = 3 5. Sobal der Master FMG-01-MASTER 192.168.1.10 als HA Master konfiguriert wurde definiere FMG-02-SLAVE als "Slave": Peer IP = IP des Master's resp. 192.168.1.10 (FMG-01-MASTER) Peer SN = Serial Nummer des Masters FMG-01-MASTER (System Settings > Dashboard > System Information > Serial Number) Cluster ID = ID die auf dem Master definiert wurde! Group Password = Password das auf dem Master definiert wurde! Heartbeat Interval = 5 Sekunden Failover Threshold = 3 6. Erstelle nun über die FortiGate eine Request zum FortiManager um den Device hinzuzufügen (Incoming) oder füge den Device über den FortiManager und über den Device Manager hinzu (Outgoing). Weitere Informationen dazu siehe: FortiManager:FAQ#Wie_f.C3.BCge_ich_einen_Device_zum_FortiManager_hinzu.3F 7. Nachdem hinzufügen des Devices kontrolliere ob "beide" FortiManager unter "central-managent" eingetragen wurden sowie die IP des Masters: # config system central-management # get # mode : normal # type : fortimanager # schedule-config-restore: enable # schedule-script-restore: enable # allow-push-configuration: enable # allow-pushd-firmware: enable # allow-remote-firmware-upgrade: enable # allow-monitor : enable # fortimanager-fds-override: disable # serial-number : "[Serien Nummer des Masters]" "[Serien Nummer des Slave]" # fmg : 192.168.1.10 # fmg-source-ip : 0.0.0.0 # vdom : root # enc-algorithm : default
Die Konfiguration des FMG im HA Mode ist abgeschlossen. Es kann nur über den Master Konfigurationen ausgeführt sowie Policy Pushe's durchgeführt werden. Die Konfiguration des Masters werden als Backup zum Slave über den Heartbeat übermittelt (TCP-5199). In einem Failover Scenario muss folgendes durchgeführt werden (Manuell):
1. Status = FMG-01-MASTER 192.168.1.10 ist down und nicht mehr erreichbar! 2. Gehe auf den FMG-02-SLAVE 192.168.2.10 und konfiguriere diesen als MASTER dh: System Settings > HA > Operation Mode > Master Peer IP = IP des Master's resp. 192.168.1.10 (FMG-01-MASTER) Peer SN = Serial Nummer des Masters FMG-01-MASTER (System Settings > Dashboard > System Information > Serial Number) Cluster ID = ID die auf dem Master definiert wurde resp. bleiben gleich wie definiert! Group Password = Password das auf dem Master definiert wurde resp. bleiben gleich wie definiert! Heartbeat Interval = 5 Sekunden Failover Threshold = 3 NOTE Der Master der Momentan "down" ist wird als Slave eingetragen da wenn dieser wieder aktiv ist als Slave fungiert und die Konfiguration des neuen Masters erhält. Ob danach wieder ein Rollback auf die übliche Konstellation durchgeführt werden soll bleibt der Situation überlassen. 3. Sobald der Slave zum "Master" konfiguriert wurde kann über die FortiGate und folgenden Befehl kontrolliert werden ob dies auf der FortiGate nachvollzogen worden ist: # config system central-management # get # mode : normal # type : fortimanager # schedule-config-restore: enable # schedule-script-restore: enable # allow-push-configuration: enable # allow-pushd-firmware: enable # allow-remote-firmware-upgrade: enable # allow-monitor : enable # fortimanager-fds-override: disable # serial-number : "[Serien Nummer des Masters]" "[Serien Nummer des Slave]" # fmg : 192.168.2.10 # fmg-source-ip : 0.0.0.0 # vdom : root # enc-algorithm : default NOTE Durch die durchgeführte Konfiguration auf dem "ehemals" Slave der nun zum Master wurde, wurde die entsprechende IP "fmg" vom alten Master zum neuen Master autom. gewechselt.
Nun kann über den ehemals Slave der nun als Master definiert wurde weiterhin die Konfiguration der FortiGate's ausgeführt werden sowie Policy Push's. Wenn der ehemals "Master" der im Moment down ist wieder up ist, kann entschieden werden ob dieser wiederum zum "Master" werden soll oder ob dieser im "Slave" Status bleibt!
Ist es möglich den HA Sync Traffic (Heartbeat) eines FortiManagers' über ein seperates Interface laufen zu lassen?
Ja dies ist möglich dh. In der Konfiguration muss darauf geachtet werden das die entsprechenden Peer's der Nodes im Clusterverbund mit dessen IP im HA eingetragen werden dh Konkret folgendes:
FortiManager Master Port 1 = 192.168.10.1/24 Port 2 = 10.10.10.1/24 FortiManager Slave Port 1 = 192.168.20.1/24 Port 2 = 10.10.20.1/24
FortiManager Master # config system ha # set mode master # set password [Definiere das "Group" Passwort] # set clusterid [Definiere die Cluster ID] # config peer # edit 1 # set ip 10.10.10.1/24 # set serial-number [Gebe die Serien Nummer des FMG referenzierend auf die entsprechende IPv4 Adresse] # next # end FortiManager Slave # config system ha # set mode slave # set password [Definiere das "Group" Passwort] # set clusterid [Definiere die Cluster ID] # config peer # edit 1 # set ip 10.10.20.1/24 # set serial-number [Gebe die Serien Nummer des FMG referenzierend auf die entsprechende IPv4 Adresse] # next # end
Dadurch das die Peer's sei es für den Master und/oder Slave über die IP des Port 2 definiert werden, wird der FortiManager gezwungen den Sync (Heartbeat) Traffic über Port 2 abzuwickeln. Der Port 1 sei es auf dem Master und/oder Slave mit der IP 192.168.10.1 resp. 192.168.20.1 stehen somit exklusiv für den Zugriff resp. das Management zur Verfügung.
Werden die Log's -wenn ein FortiManager zusätzlich mit den FortiAnalyzer Funktionen genutzt wird- im Cluster ebenfalls auf den Slave gespielt?
Wenn ein FortiManager betrieben wird mit den FortiAnalyzer (Log Funktion) Funktionen, werden die Logs in einem FortiManager Cluster Verbund nicht auf die Peer's resp. Slave's gespielt. In so einem Fall muss auf den FortiGates ein zweiter Log Server eingetragen werden dh. für die Master Funktion konfiguriert man:
# config log fortianalyzer setting # set status enable # set server [IPv4 Adresse des FortiManager Masters] # end
Für die Peer's im Cluster Verbund resp. Slave des FortiManager's konfiguriert man einen zweiten Log Server dh.:
# config log fortianalyzer2 setting # set status enable # set server [IPv4 Adresse des FortiManager Peer resp. Slave] # end
Log / View
Die Funktion "Log View" wurde unter FortiManager 5.0.4 komplett überarbeitet und ist 1:1 identisch mit dem FortiAnalyzer 5.0.4. Für weitere Informationen siehe deshalb folgender Artikel:
FortiAnalyzer:FAQ#Log_.2F_View
Reports
Die Funktion "Reports" wurde unter FortiManager 5.0.4 komplett überarbeitet und ist 1:1 identisch mit dem FortiAnalyzer 5.0.4. Für weitere Informationen siehe deshalb folgender Artikel:
FortiAnalyzer:FAQ#Reports
Drill Down
Die Funktion "Drill Down" ist unter FortiManager 5.0.4 komplett neu und ersetzt die RTM (Real Time Monitoring) Funktion die in früheren Versionen des FortiManagers zur Verfügung stand. Die Funktion "Drill Down" ist 1:1 identisch mit dem FortiAnalyzer 5.0.4. Für weitere Informationen siehe deshalb folgender Artikel:
FortiAnalyzer:FAQ#Drill_Down
Event Management
Die Funktion "Event Management" ist unter FortiManager 5.0.4 komplett neu und ersetzt die "Alert" Funktion die in früheren Versionen des FortiManagers zur Verfügung stand. Die Funktion "Event Management" ist 1:1 identisch mit dem FortiAnalyzer 5.0.4. Für weitere Informationen siehe deshalb folgender Artikel:
FortiAnalyzer:FAQ#Event_Management
WebPortal
Auf dem FortiManager kann ein WebPortal konfiguriert werden um was handelt sich dabei?
Das WebPortal ist ein Portal das für interne oder für externe User eingesetzt werden kann um die Konfiguration auf den FortiGate Devices einzusehen. Dabei können einige Funktionen als read/write benutzt werden wie zB die Erstellung von SSL-VPN Usern. Folgende Komponenten können zur Verfügung gestellt werden:
Managen der eigenen SSL-VPN User Web Filter, URL filters und Kategorien Firewall Policies (für FortiGate und VDOM)
Der entsprechende Administrator kann auf dem FortiManager Profile erstellen. Diese Profile werden innerhalb einer ADOM erstellt. Diese Profile sind Seiten die einem entsprechenden User (Extern und/oder Intern) zur Verfügung gesetellt werden. Die Profile werden den jeweiligen Usern zugeordnet und somit nur ersichtlich für die jeweiligen zugeordneten Usern. Es können mehrere solcher Profile erstellt werden für vers. zB Anforderungen und/oder Kunden. Die Profile selber enthalten Widgets (ähnlich dem Dashboard auf einer FortiGate) die teilweise angepasst werden können (Zeitachse, Inhalte etc.). In den Profilen können vers. Logos benutzt werden zB für vers. Kunden. Somit wird dem zB Kunden einen Ueberblick verschafft über den momentanen Status sowie Konfiguration der FortiGate Devices. Das WebPortal wird auf dem FortiManager selber zur Verfügung gestellt und für das Login wird das Standard Login des FortiManagers benutzt.
Die Funktion des FortiManager WebPortal ist per Standard nicht ersichtlich und muss über folgende Position zuerst aktiviert werden:
Datei:Fortinet-599.jpg
Nach der Aktivierung ist der Menüpunkt des WebPortal über den Device Manager und in den ADOMs ersichtlich:
Datei:Fortinet-600.jpg
Wie führe ich so eine Grundkonfiguration durch für ein WebPortal?
Wie schon im Artikel FortiManager:FAQ#Auf_dem_FortiManager_kann_ein_WebPortal_konfiguriert_werden_um_was_handelt_sich_dabei.3F beschrieben muss zuerst die Funktion aktiviert werden. Danach kann unter der entsprechenden ADOM anhand der Funktion "Web Portal ein Profil erstellt werden. Wähle dazu folgendes:
Datei:Fortinet-601.jpg
Vergebe für das Profil einen Namen sowie event. eine Beschreibung: Datei:Fortinet-602.jpg NOTE Ein Profil Name kann max. 35 Zeichen umfassen. Leerschläge sind nicht erlaubt!
Das Profil ist/wurde erstellt und kann nun konfiguriert werden: Datei:Fortinet-603.jpg
Wenn ein FortiAnalyzer konfiguriert ist auf dem FortiManager kann dieser resp. dessen Reports ebenfalls im Profil zur Verfügung gestellt werden. Sofern ein FortiAnalyzer vorhanden ist aktiviere den Konfigurations Punkt und danach gehe auf "Configure Profile" um die Widgets etc. zum Profil hinzuzufügen: Datei:Fortinet-604.jpg
Die angezeigte Seite entspriche nun dem Portal das der User sehen wird wenn er sich mit dem entsprechenden User und Passwort einloggt. Füge nun die vers. Komponenten hinzu. Wähle den Titel einer Seite sowie das Layout: Datei:Fortinet-605.jpg
Wähle zB eine neue zusätzliche Seite: Datei:Fortinet-606.jpg
Durch "Add Content" kann die Seite mit den gewünschten Widget's konfiguriert werden dh. es stehen vers. Kategorieren zur Verfügung. Ein Widget wird durch einen Doppelklick in der rechten Hälft hinzugefügt oder mehrere mit Ctrl + Markierung: Datei:Fortinet-607.jpg
Wenn ein Widget gewählt wurde kann dieses mit "Edit" sofern möglich konfiguriert werden. Ebenfalls können die Widget mit Drag & Drop auf die gewünschte Position gebracht werden: Datei:Fortinet-608.jpg
Unter der Menüposition "Logo Preferences" kann das Logo zB des Kunden definiert werden: Datei:Fortinet-609.jpg
Unter "Portal Preferences" kann zwischen vers. Layouts ausgewählt werden: Datei:Fortinet-610.jpg
Nach Beendigung der Konfiguration für das Portal kann dieses einfach geschlossen werden: Datei:Fortinet-611.jpg
Als nächsten Schritt muss nun für das entsprechende Profil ein User angelegt werden. Dabei unterscheidet man zwischen "Portal" und/oder "External" Users: Datei:Fortinet-612.jpg
Um einen "Portal" User zu erfassen führe folgendes durch: Datei:Fortinet-613.jpg NOTE Einem User wird mit der Position "Profile" das entsprechende Profil zugewiesen!
Datei:Fortinet-614.jpg
Ein "External" User wird folgendermassen erfasst: Datei:Fortinet-615.jpg
Datei:Fortinet-616.jpg
Scripting
Was kann ich mit der Scripting Funktion durchführen auf einem FortiManager?
Die Scripting Funktion stellt eine Möglichkeit dar auf dem FortiManager Scripts bereitzustellen um folgende Komponenten zu modifizieren/konfigurieren:
FortiGate Device Policy Package ADOM database Global Policy Package Database
Die Scripts können ebenfalls bezogen auf Device Informationen und OS Version sowie Platformen gefiltert werden. Um die Script Funktion zu nutzen müssen zwei Vorraussetzungen gegeben sein:
Aktivierung der Menüposition Mind ein FortiGate Device muss im FortiManager existieren
Die Scripting Funktion ist per Standard als Menüposition deaktiviert. Um diese zu aktivieren wähle:
System Settings > Admin > Admin Settings Datei:Fortinet-591.jpg
Wenn die Script Funktion aktiviert wurde so steht diese unter folgender Position zur Verfügung:
Datei:Fortinet-592.jpg
Nun unter "Create New" kann ein neues Script zB für die entsprechende ADOM durchgeführt werden. Dabei stehen wie schon erwähnt zusätzliche Optionen zur Verfügung um ein Filtering durchzuführen oder explizit das Scrit zB auf der FortiGate CLI auszuführen:
Datei:Fortinet-593.jpg
Datei:Fortinet-594.jpg NOTE Wenn Scripte auf die "Global Database" angewendet werden müssen die Kommandos "voll" ausgeschrieben werden dh. zB "config system global" (nicht conf sys global)!
Scripts können auf zwei Arten geschrieben werden:
• FortiGate CLI Kommandos (Auskommentierungen für zB Infos und Dokus werden zu Beginn der Zeile anhan des "#" ausgeführt) • Tcl Scriptin Kommandos (Unterstützt mehr Funktionalität innerhalb des Scriptes)
NOTE Im FortiManager ist die Option "set console-output" auf "standard" gesetzt dh. wenn ein Script das länger als die Bildschirmlänge ausgeführt werden soll wird dies durch "standard" verhindet. Dies bedeutet um die Script Funktion einwandfrei zu nutzen sollte diese Variable auf "more" gesetzt werden!
# config system global # set console-output more # end
Um ein entsprechendes Script auszuführen in einer ADOM resp. auf einem Device erstellen wir kurz ein Script für Testzwecke. Danach kann das Script ausgeführt werden:
Datei:Fortinet-595.jpg
Datei:Fortinet-596.jpg
Das Script kann danach auf die entsprechende "Gruppe" oder "Device" ausgeführt werden:
Datei:Fortinet-597.jpg
Das Script wird ausgeführt und die Resultate sprich "Details" sowie "History" kann nachträglich eingesehen werden:
Datei:Fortinet-598.jpg
FNDN (Fortinet Distribution Network)
Wenn die Service FortiGuard vom FortiManager bereitgestellt werden wie sieht die Kommunkation aus?
Wenn die FortiGate Devices so konfiguriert sind, dass Sie die FortiGuard Services vom FortiManager bekommen, werden sämtliche Datenbanken wie Antivirus, WebFilter usw. durch den FortiManager "lokal" bereitgestellt. Dies bedeutet zB bei einer WebFilter Abfrage steht die WebFilter Datenbank auf dem FortiManager vollständig für die FortiGate Devices zur Verfügung und muss nicht über die FortiGuard Services in der Cloud abgefragt werden. Somit wird durch den FortiManager das sogenannte "FortiGuard Distribution Network" (FNDN) bereitgestellt.
NOTE Jede Hardware Appliance unterstützt vollumfänglich das "FortiGuard Distribution Network" jedoch nicht die VMWare Version dh. bis FMG-Base + 1000-UG stehen folgende Service nicht zur Verfügung: WebFilter und Antispam Ab der Version FMG-Base + 1000-UG stehen alle FortiGuard Services zur Verfügung! Nachfolgende Abbildung verdeutlicht die vorhergehenden Informationen:![]()
Allgemein
Wo kann ich sehen wann zum letzten Mal eine Policy oder Device Profile auf einer FortiGate installiert wurde?
Wenn im Device Manager der entsprechende Device markiert wird so sieht man im unteren Bereich das Dashboard des Devices. Per Standard wird unten Links die "Last Installation" angezeigt:
Datei:Fortinet-508.jpg
Wie kann ich vom FortiManager meine FortiGate Devices über SSH und/oder Telnet managen?
Nun die Funktion um ein FortiGate Device über SSH und/oder Telnet zu managen wird im normal Fall über die FortiGate selber unter dessen Interface aktiviert und/oder deaktivert. Dies bedeutet: ist dies auf dem FortiGate Device aktiviert kann über SSH und/oder Telnet der Device direkt angegangen werden. Wird ein FortiGate Device über einen FortiManager zentral Verwaltet ist es nicht mehr nötig diese Funktion auf dem FortiGate Device zu aktivieren, denn die Funktion kann über den FortiManager genutzt werden. Dies bedeutet wird Telnet und/oder SSH auf der FortiGate deaktiviert, ist des dennoch möglich über den FortiManager auf den entsprechenden FortiGate Device SSH und/oder Telnet durchzuführen. Durchgeführt wird das auf dem FortiManager durch die sichere Verbindung (tunneling) die etabliert wurde zum entsprechenden FortiGate Device. Um SSH und/oder Telnet auszuführen auf dem FortiManager wähle im WebGui den Device Manager und den entsprechenden Device. Danach kann im Dashboard des entsprechenden Devices unter "Connection Summary" folgendes ausgeführt werden:
Datei:Fortinet-515.jpg
Einige Menüposition sind nicht ersichtlich im FortiManager wieso?
Wie auf einer FortiGate werden einige Menüpositionen aus Uebersichtsgründen ausgeblendet. Möchte man diese Menüpositionen einblenden kann dies unter folgender Position im WebGui durchgeführt werden:
System Settings > Admin > Admin Settings![]()
Was bedeutet die Menüposition unter System Settings "Global Database Version"?
Den "Global Database Version" Konfigurationspunkt findet man unter:
System Settings > General > Dashboard > System Information > Global Database Version Datei:Fortinet-589.jpg
Unter diesem Punkt kann die Datenbank Version auf vers. Versionen gesetzt werden:
Datei:Fortinet-590.jpg
Nun die "Global Database Version" kann zB auf FortiOS 5.0, FortiOS 4.0 MR oder FortiOS 4.0 MR2 gesetzt werden. Dies bedeutet, dass die Datenbank Version gesetzt wird für die "Global" Funktion (Global Policy und Objects) und somit für die FortiGate Devices. Nachfolgend zur besseren Erklärung ein Beispiel:
Wenn zB 2 FortiGate Device's exisiteren; 1 Device basierend auf 4.0 MR3 und der andere Device basierend auf 5.0. Die Datenbank Version ist gesetzt auf 5.0. Eine "Global Policy" existiert und diese ist einer ADOM zugewiesen. Die zwei erwähnten Devices einer mit FortiOS 5.0 und der andere mit FortiOS 4.0 MR3 können nicht Mitglieder sein in einer ADOM denn eine ADOM unterstützt nur entweder FortiOS 5 oder v.4.x. Somit müssen die Device in zwei seperaten ADOM's gemanaged werden. Die "Global Policy" steht dann "nur" für FortiOS 5 zur Verfügung und nicht für 4.x. Somit wird die "Global Policy" in der ADOM 4.x basierend ignoriert.
Dieser Umstand gilt "nur" für die "Global Policy und Objects" Funktionen. Der Grund liegt im Befehlsatz der sich durch die vers. FortiOS Versionen teilweise start verändert hat und somit die Komplexität erhöht!
Ist es möglich eine Datenbank eines FortiManagers mit einem Tool einzusehen?
Ja dies ist Grundsätzlich möglich dh. Das Backup File eines FortiManagers muss entpackt werden zB mit 7-zip. Das Entpacken muss mehrmals geschehen bis die Verzeichnis Struktur erscheint die ungefähr folgendermassen aussieht:
/var /dm /dvm /fwclienttemp /pm2 /portal /rtm
Die Datenbank kann nur eingesehen werden jedoch nicht modifiziert werden dh. diese Daten stehen zu Informationszwecken zur Verfügung und sind nicht "modifizierbar"!
Troubleshooting
Wie kann ich auf einem FortiManager verfizieren WAS ein High CPU verursacht?
Wenn zB bei einer VMware Installation eines FortiManagers ein High CPU auftritt kann mit folgenden Befehlen eruiert werden WAS diesen High CPU verursacht um weitere Schritte in Betracht zu ziehen:
# get system status # get system performance
# exe top NOTE: Drücken Sie 1 um die CPU's zu separieren, danach Shift-M um nach mem zu sortieren!
# diag sys top Datei:Fortinet-307.jpg
Wie kann ich auf einem FortiManager den Mgmt. Tunnel (fgfm) neu starten?
Bei einigen Konfiguration zB beim "replacement" eines FortiGate Devices (Austausch der Serien Nummer) muss der Mgmt. Tunnel des FortiManager's zum FortiGate Device neu gestartet werden. Dies wird über die Kommandozeile des FortiManagers folgendermassen durchgeführt:
# execute fgfm reclaim-dev-tunnel
CLI
Divers
Wie kann ich über CLI alle Devices in einem FortiManager anzeigen lassen?
Benutze folgendes Kommando auf der CLI um sämtlichze Devices in einem FortiManager anzeigen zu lassen:
# diagnose dvm device listThere are current 1 devices managed: TYPE OID SN HA IP STATUS NAME ADOM FIRMWARE REG 114 FGVMEV0000000000 - 192.168.140.60 1:1:1:4:1 FortiGate-VM local 5.0MR0 (128) |- vdom:[3]root flags:0 adom:local ---End device list--- STATUS--> db:conf:cond:dm:conn db : 1-not modified 2-modified conf: 1-in sync 2-out of sync cond: 1-OK 2-out of sync 3-pending 4-conflict 5-unregistered dm : 1-check in 2-inprogress 3-installed 4-aborted 5-sheduled 6-retry 7-canceled 8-pending 9-retrieved 10-changed 11-sync failed 12-timeout 13-reverted 14 auto updated conn: 1-up 2-down
Wie kann ich die Serien Nummer eines Devices korrigieren oder neu eingeben?
Wenn ein Device neu zum FortiManager hinzugefügt wird (über den Device Manager Wizard) so kann dort eine Serien Nummer des Gerätes angegeben werden. Diese kann jedoch nachträglich nicht einfach so über WebGui gewechselt werden. Um diese Serien Nummer eines Devices zu wechseln und/oder zu korrigieren benütze folgendes Kommando:
# execute device replace sn [Name des Device] [Serien Nummer des Device]
Wie kann ich das Passwort eines Devices korrigieren oder neu eingeben?
Wenn ein Device neu zum FortiManager hinzugefügt wird (über den Device Manager Wizard) so muss dort ein Passwort für den Device angegeben werden sprich dieses stammt vom -für diese Verbindung erstellten Administrator- auf der FortiGate. Wechselt dieses kann dies über die CLI folgendermassen ausgeführt werden:
# execute device replace pw [Name des Device] [Passwort des Device] NOTE Das Passwort sowie der Username kann über das WebGui geändert werden indem man den entsprechenden Device im Device Manager editiert!
Divers
Welche Datenbank wird beim FortiAnalyzer benutzt und kann ich diese selber mit Querys abfragen?
Für weitere Informationen siehe nachfolgender Artikel:
FortiAnalyzer:FAQ#Welche_Datenbank_wird_beim_FortiAnalyzer_benutzt_und_kann_ich_diese_selber_mit_Querys_abfragen.3F